Para: administradores y secretarios de sociedades registradas en el Reino Unido (incluidas las filiales británicas de grupos extranjeros), contables y agentes que presentan documentos en su nombre, y desarrolladores que crean servicios en los que muchos clientes comparten un mismo sistema. Este artículo se basa en las declaraciones, la guía y el correo enviado a todas las empresas que Companies House publicó en GOV.UK, así como en la carta de su director ejecutivo a una comisión de la Cámara de los Comunes. No describe cómo reproducir ni explotar el defecto.
Qué deben hacer hoy los administradores y el personal de las empresas
Comprueben sus datos registrados y su historial de presentaciones
Companies House pide a todas las empresas que comprueben sus datos registrados y su historial de presentaciones como medida de precaución, en WebFiling y en el servicio público Find and update company information.
Busquen nombramientos o ceses de administradores, cambios de domicilio social o cuentas que no hayan presentado. Según Companies House, los documentos existentes no podían eliminarse ni modificarse, y cualquier presentación aceptada aparece en el historial de presentaciones.
Si algo parece incorrecto, notifíquenlo como indica Companies House
Escriban a enquiries@companieshouse.gov.uk con «WebFiling issue» en el asunto, indicando el nombre y el número de la empresa, y el máximo detalle posible sobre la preocupación. Companies House afirma que cuanta más información se aporte, más fácil será investigar y resolver el problema.
Activen el servicio gratuito Follow
Companies House recomienda Follow: abran la página de su empresa en Find and update company information y seleccionen «Follow this company» para recibir un correo instantáneo cada vez que se presente un documento.
Follow no avisa de los cambios en información que no se publica en el registro público; para ver la información privada de su empresa, inicien sesión en WebFiling.
Revisen el código de autenticación de la empresa
El código de autenticación de la empresa es un código alfanumérico de 6 caracteres que autoriza las presentaciones en línea y equivale a la firma de un administrador. La guía de Companies House indica que hay que tratarlo con el mismo cuidado que el PIN de una tarjeta bancaria, y cambiarlo si lo conoce alguien en quien no confían, o alguien que ya no está autorizado a presentar documentos, como antiguo personal o un contable anterior. Companies House nunca pedirá el código por teléfono.
Tengan en cuenta que, en relación con este incidente, Companies House indicó que las contraseñas no necesitan restablecerse y no pidió a las empresas que cambiaran los códigos; se trata de una recomendación general de buenas prácticas.
Reconozcan el correo de notificación auténtico
Companies House envió un correo a la dirección registrada de cada empresa entre el 17 y el 19 de marzo desde companies.house@notifications.service.gov.uk, una dirección que no admite respuestas. Si llega un correo que dice tratar sobre este incidente, no inicien sesión desde sus enlaces; abran WebFiling en GOV.UK por su cuenta (véase ¿Qué es el phishing?).
Si el cierre les hizo perder un plazo, guarden pruebas y presenten recurso
Si no cumplieron un plazo de presentación de cuentas porque WebFiling estuvo cerrado del 13 al 16 de marzo, Companies House indica que no es necesario llamar; presenten la documentación lo antes posible y guarden un registro de cuándo intentaron acceder al servicio. Si se aplica una sanción por presentación tardía, recurran en línea e incluyan capturas de pantalla y marcas de tiempo.
El usuario A inicia sesión y solicita los datos de la empresa B
↓
① Autenticación: ¿quién es?
Un usuario registrado con sesión iniciada → supera el control (esto funcionó)
② Autorización: ¿puede gestionar B?
Con una secuencia concreta de acciones, este control no se cumplió
↓
Posiblemente visible
Día de nacimiento, dirección residencial, correo electrónico registrado de la empresa
Posiblemente presentado
Nuevas presentaciones (cuentas, cambios de administrador); los documentos existentes no podían modificarse
Defensa: aplicar ② en cada solicitud y comprobar en cada versión que la solicitud de otra empresa se rechaza
Qué ocurrió (según Companies House)
Todo lo que figura a continuación se indica tal como aparece en estos documentos oficiales:
- La declaración de Companies House (16 de marzo, actualizada el 18 de marzo)
- La página de orientación «WebFiling issue: information and updates» (publicada el 20 de marzo, actualizada el 8 de abril)
- La copia del correo enviado a todas las empresas (17 de marzo)
- La carta de su director ejecutivo a la Comisión de Negocios y Comercio de los Comunes (fechada el 19 de marzo, publicada el 25 de marzo)
11 de octubre de 2025
Una gran actualización del sistema de WebFiling. Según Companies House, el defecto se introdujo entonces.Viernes 13 de marzo de 2026
Companies House tuvo conocimiento del problema tras un correo de un tercero. Cerró WebFiling a las 13:30 para investigarlo y corregirlo.Lunes 16 de marzo, 9:00
WebFiling se reabrió tras una prueba independiente y exhaustiva. Ese mismo día se publicó una declaración; Companies House indicó que había notificado el incidente a la Information Commissioner's Office (ICO) y al National Cyber Security Centre (NCSC).17–19 de marzo
Correos enviados a la dirección registrada de cada empresa.19 de marzo
En una carta a la comisión de los Comunes, el director ejecutivo afirmó que la monitorización estaba diseñada para detectar fallos del sistema y ciberataques, y no se activó porque se trataba de un defecto funcional.20 de marzo
Publicada la página de orientación «WebFiling issue: information and updates».8 de abril
Orientación actualizada: se identificó un número muy reducido de casos de acceso no autorizado o de intentos de modificación, que se consideran relacionados, sin pruebas de una explotación más amplia. Companies House indicó que encargaría a un tercero independiente la revisión de su enfoque y que no volvería a actualizar la página hasta que concluyan las posibles investigaciones, incluidas las de la ICO.
- Posiblemente visible
- Para administradores y PSC, el día de la fecha de nacimiento (normalmente solo se publican el mes y el año en el registro público) y la dirección residencial; el correo electrónico registrado de la empresa
- Acciones posibles
- Presentaciones no autorizadas (por ejemplo, nuevas cuentas o cambios de administrador). Los documentos existentes no podían editarse ni eliminarse, y las presentaciones aceptadas aparecen en el historial de presentaciones
- Quién podría utilizarlo
- Solo un usuario registrado con sesión iniciada (como un administrador de la empresa o un agente) que realizara una secuencia concreta de acciones; no el público en general. Companies House afirma que no podía utilizarse para extraer datos en bloque
- No afectado
- Contraseñas (no es necesario restablecerlas); datos de verificación de identidad como información del pasaporte y códigos personales; documentos ya presentados; personas que habían solicitado proteger sus datos en virtud de la Companies Act 2006
- Causa (según Companies House)
- Un defecto de la aplicación introducido con una versión importante. La carta del director ejecutivo indica que las conclusiones preliminares sugieren que no se detectó durante las pruebas ni en la revisión por pares
- Trazabilidad
- Según la carta, todos los cambios quedan registrados y vinculados a la cuenta con sesión iniciada, por lo que es posible rastrear quién modificó un registro; actualmente no era posible determinar cuántas veces se accedió a la información mediante el defecto
- Notificaciones y próximos pasos
- Notificado a la ICO y al NCSC. Una revisión detallada de las lecciones aprendidas, seguida de una revisión por un tercero independiente
Cómo leer las cifras: el número muy reducido no se ha publicado
La actualización de Companies House del 8 de abril se refiere a «un número muy reducido» de casos de acceso no autorizado o de intentos de modificación, pero no ofrece ningún recuento. Este artículo no utiliza cifras de incidentes ni de empresas consultadas que no se hayan publicado oficialmente. Tampoco describe la secuencia de acciones que activó el defecto, ya que podría permitir un uso indebido.
Lo que deben saber los administradores: por qué importan la fecha de nacimiento y la dirección particular
En el Reino Unido, las direcciones residenciales de los administradores y el día de su fecha de nacimiento normalmente no figuran en el registro público. En esta ocasión pudieron ser visibles para otros usuarios con sesión iniciada. En el caso de una filial británica de un grupo extranjero cuyo administrador vive en el extranjero, esa dirección particular en el extranjero podría estar entre los datos afectados.
Público: cualquiera puede verlo en el registro
- Nombres de los administradores, mes y año de nacimiento
- Dirección de correspondencia (de notificaciones)
- Historial de presentaciones (cuentas, cambios de administrador, etc.)
No público: posiblemente visible en este incidente
- Día de nacimiento (con el mes y el año, la fecha completa)
- Direcciones residenciales de administradores y PSC
- Correo electrónico registrado de la empresa (no publicado)
La fecha de nacimiento completa junto con una dirección particular es una combinación que suele utilizarse para responder preguntas de verificación de identidad. El correo electrónico registrado de la empresa es el destino de los mensajes oficiales de Companies House. Dos medidas de defensa:
- Nunca consideren que alguien que conoce su fecha de nacimiento o su dirección es un motivo para confiar en una llamada o un correo
- Ante cualquier mensaje que diga proceder de Companies House en la dirección de correo registrada, abran GOV.UK por su cuenta en lugar de usar sus enlaces
La lección para los desarrolladores: la monitorización de ataques no detecta los fallos de autorización
No se trató de una intrusión desde el exterior. Fue un usuario legítimo, con sesión iniciada, que pudo ver los datos de otra empresa (otro inquilino). En términos de seguridad, es un problema de control de acceso roto, cercano al tipo conocido como IDOR (referencia directa insegura a objetos).
En un IDOR, basta con cambiar un identificador en una solicitud para acceder a los datos de otra persona. La diferencia entre autenticación y autorización se explica en Autenticación frente a autorización.
Opinión de este sitio: se evita con pruebas de autorización, no con monitorización de ataques
En una carta a la comisión de los Comunes, el director ejecutivo de Companies House explicó que su monitorización estaba diseñada para detectar fallos del sistema y ciberataques, y no se activó porque se trataba de un defecto funcional. El problema salió a la luz a través de un correo de un tercero.
Hay una lección para cualquiera que construya un servicio en el que muchos clientes comparten un mismo sistema. Un acceso que aprovecha un fallo de autorización parece el de un usuario legítimo con sesión iniciada que hace cosas ordinarias: sin tráfico sospechoso, sin descargas masivas. Por eso es más fiable prevenirlo durante el desarrollo que vigilarlo en producción.
- Comprueben «¿puede este usuario gestionar esta empresa?» en cada solicitud. No den por hecho que una pantalla o un paso anterior ya lo comprobó. En cada lectura y escritura, verifiquen en el servidor la relación entre el usuario con sesión iniciada y el registro de destino.
- Automaticen pruebas que confirmen que las solicitudes de datos de otra persona se rechazan, y ejecútenlas en cada versión. Actúen como el usuario A, soliciten ver o modificar los datos de la empresa B, y comprueben que se rechaza. Según Companies House, este defecto llegó con una gran versión y no fue detectado por las pruebas ni por la revisión por pares.
Las pruebas funcionales comprueban que lo que debe funcionar funciona; las pruebas de autorización comprueban que lo que no debe funcionar no funciona. Estas últimas son las más fáciles de pasar por alto en grandes versiones, así que automatícenlas en lugar de confiar en revisiones manuales. - Registren los cambios asociados a la cuenta que los realizó. Companies House afirma que todos los cambios quedaron registrados y vinculados a la cuenta con sesión iniciada, lo que permite rastrear quién hizo un cambio, aunque todavía no podía determinar cuántas veces se vieron los datos. Registrar también las lecturas permite demostrar el alcance de un incidente después.
- Ofrezcan a personas externas una forma de informar. Este problema se encontró a través de un correo enviado desde fuera. Un contacto de notificación publicado (por ejemplo, un archivo security.txt) ayuda a quienes detectan un problema a comunicárselo rápidamente.
Para otro caso europeo de este año en el que se filtraron itinerarios de una lista de clientes, véase la filtración de datos de Trenitalia; para un caso en el que se filtró la lista de usuarios de un portal de solicitudes gubernamental, véase la filtración de France Titres (ANTS).
Fuentes (registro público)
Los hechos de este artículo proceden de las fuentes públicas siguientes. No se utilizan especulaciones de los medios, detalles de reproducción ni cifras no publicadas.
- Companies House, «Update on Companies House WebFiling security issue» (16 de marzo de 2026; actualizado el 18 de marzo) — gov.uk
- Companies House, «WebFiling issue: information and updates» (publicado el 20 de marzo de 2026; actualizado el 8 de abril) — gov.uk
- Companies House, «Email to registered companies about the WebFiling security issue» (17 de marzo de 2026) — gov.uk
- House of Commons Business and Trade Committee, «Letter from Companies House relating to online filing service faults, 19 March 2026» (publicado el 25 de marzo de 2026) — committees.parliament.uk
- Companies House, «Company authentication codes for online filing» — gov.uk
- Companies House, «Protecting your company from fraud and scams» — gov.uk
Historial de actualizaciones
2026-09-30: Primera versión, basada en la declaración de Companies House (16 de marzo, actualizada el 18 de marzo), su página de orientación (versión del 8 de abril), la copia de su correo a todas las empresas, la carta a la comisión de los Comunes (fechada el 19 de marzo) y su orientación sobre códigos de autenticación y fraude. Companies House ha indicado que no actualizará su página de orientación hasta que concluyan las posibles investigaciones, incluidas las de la ICO; este artículo se actualizará si se publican conclusiones o la revisión independiente.
Lectura recomendada
- El mismo patrón en Japón: la e-Tax de Japón mostró declaraciones del impuesto sobre donaciones de otras personas (79 contribuyentes)
- Resumen de filtraciones gubernamentales de 2026: cuatro filtraciones de datos gubernamentales de 2026 y qué pueden hacer los ciudadanos
- Términos: ¿Qué es IDOR (referencia directa insegura a objetos)? / ¿Qué es el OWASP Top 10?
- Conceptos: Autenticación frente a autorización
- Otros casos europeos de este año: La filtración de datos de Trenitalia (Italia) / La filtración de France Titres (ANTS) (Francia)
- Otros incidentes de 2026: lista de filtraciones y ciberataques (Japón y mundial)