대상: 영국에 등록된 회사의 이사 및 회사 비서(영국 외 그룹의 영국 자회사 포함), 대신 신고하는 회계사 및 대리인, 그리고 많은 고객이 하나의 시스템을 공유하는 서비스를 만드는 개발자. 이 글은 Companies House가 GOV.UK에 게시한 성명, 안내 및 전체 회사 대상 이메일, 그리고 최고경영자가 하원 위원회에 보낸 서한을 바탕으로 합니다. 결함을 재현하거나 악용하는 방법은 설명하지 않습니다.
이사와 회사 직원이 오늘 해야 할 일
등록된 세부 정보와 제출 이력 확인하기
Companies House는 모든 회사에 예방 차원에서 WebFiling과 공개 Find and update company information 서비스에서 등록된 세부 정보와 제출 이력을 확인하도록 요청합니다.
이사 선임이나 해임, 등록 사무소 변경, 또는 제출한 적 없는 회계 서류를 살펴보세요. Companies House에 따르면 기존 문서는 삭제되거나 변경될 수 없었으며, 승인된 제출은 제출 이력에 나타납니다.
문제가 보이면 Companies House가 요청한 방식으로 신고하기
제목에 "WebFiling issue"를 적고 회사 이름과 번호, 그리고 우려 사항에 대한 가능한 한 많은 세부 내용을 포함하여 enquiries@companieshouse.gov.uk로 이메일을 보내세요. Companies House는 더 많은 정보를 제공할수록 조사와 해결이 쉬워진다고 말합니다.
무료 Follow 서비스 켜기
Companies House는 Follow를 권장합니다. Find and update company information에서 회사 페이지를 열고 "Follow this company"를 선택하면 문서가 제출될 때마다 즉시 이메일을 받습니다.
Follow는 공개 등록부에 게시되지 않은 정보의 변경은 알려주지 않습니다. 회사의 비공개 정보를 보려면 WebFiling에 로그인하세요.
회사 인증 코드 점검하기
회사 인증 코드는 온라인 제출을 승인하는 6자리 영숫자 코드이며 회사 임원의 서명과 같은 역할을 합니다. Companies House 안내에 따르면 은행 카드 PIN과 같은 주의로 다뤄야 하며, 신뢰하지 않는 사람이 알고 있거나 이전 직원이나 이전 회계사처럼 더 이상 제출 권한이 없는 사람이 알고 있다면 변경해야 합니다. Companies House는 전화로 이 코드를 요청하지 않습니다.
이번 사고와 관련해 Companies House는 비밀번호를 재설정할 필요가 없으며 회사에 코드 변경을 요청하지 않았다고 밝혔습니다. 이는 일반적인 보안 관리 사항입니다.
정상적인 알림 이메일 확인하기
Companies House는 3월 17일부터 19일 사이에 모든 회사의 등록 이메일 주소로 companies.house@notifications.service.gov.uk에서 이메일을 보냈습니다. 회신이 불가능한 주소입니다. 이번 사고에 관한 것이라고 주장하는 이메일이 도착하면 그 안의 링크로 로그인하지 마세요. 직접 GOV.UK에서 WebFiling을 여세요(피싱이란? 참고).
폐쇄로 기한을 놓쳤다면 증거를 보관하고 이의 제기하기
3월 13일부터 16일까지 WebFiling이 폐쇄되어 회계 서류 제출 기한을 놓쳤다면, Companies House는 전화할 필요가 없고 가능한 한 빨리 제출하면 된다고 말합니다. 또한 서비스에 접근하려고 시도한 시각을 기록해 두세요. 연체 벌금이 부과되면 온라인으로 이의를 제기하고 스크린샷과 타임스탬프를 포함하세요.
사용자 A가 로그인하여 회사 B의 세부 정보를 요청
↓
① 인증: 이 사람은 누구인가?
로그인한 등록 사용자 → 통과(이 부분은 작동했음)
② 권한 부여: B를 다뤄도 되는가?
특정 순서의 작업에서 이 점검이 작동하지 않았음
↓
보였을 수 있음
생년월일 중 일, 자택 주소, 회사 등록 이메일
제출되었을 수 있음
신규 제출(회계 서류, 이사 변경). 기존 문서는 변경될 수 없었음
방어: 모든 요청에 ②를 실행하고, 다른 회사 요청이 거부되는지 릴리스마다 테스트
무슨 일이 있었나 (Companies House 발표 기준)
아래 내용은 모두 다음 공식 문서에 적힌 대로입니다.
- Companies House 성명(3월 16일, 3월 18일 업데이트)
- 안내 페이지 "WebFiling issue: information and updates"(3월 20일 게시, 4월 8일 업데이트)
- 모든 회사에 보낸 이메일 사본(3월 17일)
- 최고경영자가 하원 Business and Trade Committee에 보낸 서한(3월 19일자, 3월 25일 게시)
2025년 10월 11일
WebFiling에 대한 대규모 시스템 업데이트. Companies House에 따르면 이때 결함이 도입되었습니다.2026년 3월 13일(금)
제3자의 이메일을 통해 Companies House가 문제를 인지했습니다. 조사와 수정을 위해 오후 1시 30분에 WebFiling을 폐쇄했습니다.2026년 3월 16일(월) 오전 9시
독립적이고 포괄적인 테스트 후 WebFiling을 다시 열었습니다. 같은 날 성명이 게시되었으며, Companies House는 이 사고를 정보위원회(ICO)와 국가사이버보안센터(NCSC)에 신고했다고 밝혔습니다.3월 17일–19일
모든 회사의 등록 이메일 주소로 이메일 발송.3월 19일
하원 위원회에 보낸 서한에서 최고경영자는 모니터링이 시스템 장애와 사이버 공격을 탐지하도록 설계되었으며, 기능상의 결함이었기 때문에 작동하지 않았다고 말했습니다.3월 20일
안내 페이지 "WebFiling issue: information and updates" 게시.4월 8일
안내 업데이트: 승인되지 않은 접근 또는 변경 시도가 극소수 건 확인되었으며 서로 연관된 것으로 보이고, 더 광범위한 악용의 증거는 없다고 밝혔습니다. Companies House는 독립 제3자를 참여시켜 접근 방식을 검토할 것이며, ICO를 포함한 잠재적 조사가 끝날 때까지 페이지를 더 이상 업데이트하지 않겠다고 했습니다.
- 보였을 수 있음
- 이사 및 PSC의 생년월일 중 일(보통 공개 등록부에는 월과 연도만 있음)과 자택 주소, 회사 등록 이메일 주소
- 가능했던 행위
- 승인되지 않은 제출(예: 신규 회계 서류 또는 이사 변경). 기존 문서는 수정하거나 삭제할 수 없었으며, 승인된 제출은 제출 이력에 나타남
- 누가 이용할 수 있었나
- 특정 순서의 작업을 수행하는 로그인한 등록 사용자(회사 임원이나 대리인 등)만 가능했으며 일반 대중은 아님. Companies House는 대량으로 데이터를 빼내는 데는 사용할 수 없었다고 말함
- 영향 없음
- 비밀번호(재설정 필요 없음), 여권 정보와 개인 코드 같은 신원 확인 데이터, 기존 제출 문서, 2006년 회사법에 따라 개인 정보 보호를 신청한 사람들
- 원인(Companies House 기준)
- 주요 릴리스와 함께 도입된 애플리케이션 결함. 최고경영자 서한은 예비 조사 결과 이것이 테스트나 동료 검토에서 확인되지 않았던 것으로 보인다고 말함
- 추적 가능성
- 서한에 따르면 모든 변경 사항은 기록되고 로그인한 계정에 연결되어 있어 누가 기록을 변경했는지 추적할 수 있으나, 결함을 통해 정보에 몇 번 접근했는지는 현재 확인할 수 없었음
- 신고 및 다음 단계
- ICO와 NCSC에 신고됨. 상세한 교훈 검토 후 독립 제3자 검토 예정
수치 읽는 법: 극소수 건수는 공개되지 않았습니다
Companies House의 4월 8일 업데이트는 승인되지 않은 접근 또는 변경 시도가 "극소수"였다고 언급하지만 건수는 제시하지 않았습니다. 이 글은 공식적으로 공개되지 않은 사고 건수나 조회된 회사 수를 사용하지 않습니다. 또한 결함을 유발한 작업 순서도 설명하지 않는데, 이는 악용에 쓰일 수 있기 때문입니다.
이사가 알아야 할 점: 생년월일과 자택 주소가 중요한 이유
영국에서는 이사의 자택 주소와 생년월일 중 일은 보통 공개 등록부에서 제외됩니다. 이번에는 다른 로그인 사용자에게 보였을 수 있습니다. 이사가 해외에 거주하는 해외 그룹의 영국 자회사라면, 해외 자택 주소도 관련 데이터에 포함되었을 수 있습니다.
공개: 누구나 등록부에서 볼 수 있음
- 이사 이름, 출생 연월
- 송달 주소(서비스 주소)
- 제출 이력(회계 서류, 이사 변경 등)
비공개: 이번 사고에서 보였을 수 있음
- 생년월일 중 일(월과 연도와 함께 전체 날짜가 됨)
- 이사 및 PSC의 자택 주소
- 회사 등록 이메일 주소(공개되지 않음)
전체 생년월일과 자택 주소의 조합은 신원 확인 질문에 답하는 데 자주 쓰입니다. 회사 등록 이메일 주소는 Companies House의 공식 메시지가 가는 곳입니다. 다음 두 가지 방어 방법을 기억하세요.
- 누군가 내 생년월일이나 주소를 안다는 사실을 전화나 이메일을 믿을 근거로 삼지 마세요
- 등록 이메일 주소로 Companies House를 사칭하는 메시지가 오면 그 안의 링크를 쓰지 말고 직접 GOV.UK를 여세요
개발자를 위한 교훈: 공격 모니터링으로는 권한 부여 버그를 찾을 수 없습니다
이것은 외부 침입이 아니었습니다. 정상적으로 로그인한 사용자가 다른 회사(다른 테넌트)의 데이터를 볼 수 있었던 것입니다. 보안 용어로는 IDOR(안전하지 않은 직접 객체 참조)에 가까운 접근 제어 실패입니다.
IDOR에서는 요청의 식별자를 바꾸는 것만으로 다른 사람의 데이터에 도달할 수 있습니다. 인증과 권한 부여의 차이는 인증 대 권한 부여에서 다룹니다.
이 사이트의 견해: 공격 모니터링이 아니라 권한 부여 테스트로 막아야 합니다
하원 위원회에 보낸 서한에서 Companies House 최고경영자는 모니터링이 시스템 장애와 사이버 공격을 탐지하도록 설계되었고, 기능상의 결함이었기 때문에 작동하지 않았다고 설명했습니다. 이 문제는 제3자의 이메일을 통해 드러났습니다.
여러 고객이 하나의 시스템을 공유하는 서비스를 만드는 모든 사람에게 교훈이 있습니다. 권한 부여의 빈틈을 통한 접근은 정상적으로 로그인한 사용자가 평범한 작업을 하는 것처럼 보입니다. 의심스러운 트래픽도, 대량 다운로드도 없습니다. 따라서 운영 환경에서 감시하기보다 개발 단계에서 예방하는 것이 더 확실합니다.
- 모든 요청에서 "이 사용자가 이 회사를 다룰 수 있는가?"를 확인하세요. 앞선 화면이나 단계에서 이미 확인했다고 가정하지 마세요. 모든 읽기와 쓰기에서 서버가 로그인한 사용자와 대상 기록의 관계를 검증해야 합니다.
- 다른 사람의 데이터 요청이 거부되는지 확인하는 테스트를 자동화하고 릴리스마다 실행하세요. 사용자 A로서 회사 B의 데이터를 보거나 변경하도록 요청하고, 거부되는지 검증하세요. Companies House에 따르면 이 결함은 주요 릴리스와 함께 들어왔고 테스트나 동료 검토에서 잡히지 않았습니다.
기능 테스트는 작동해야 할 것이 작동하는지 확인하고, 권한 테스트는 작동하면 안 되는 것이 작동하지 않는지 확인합니다. 후자는 대규모 릴리스에서 가장 쉽게 빠지므로 수동 점검에 의존하지 말고 자동화하세요. - 변경 사항을 이를 수행한 계정에 연결하여 기록하세요. Companies House는 모든 변경이 기록되고 로그인한 계정에 연결되어 누가 변경했는지 추적할 수 있지만, 데이터가 몇 번 조회되었는지는 아직 알 수 없었다고 말합니다. 조회 기록도 남기면 사고 후에 영향 범위를 보여줄 수 있습니다.
- 외부인이 신고할 수 있는 경로를 제공하세요. 이번 문제는 외부에서 온 이메일을 통해 발견되었습니다. 공개된 신고 연락처(예: security.txt 파일)는 문제를 발견한 사람이 빠르게 알릴 수 있도록 돕습니다.
올해 고객 명단에서 여행 일정이 유출된 다른 유럽 사례는 Trenitalia 데이터 유출을, 정부 신청 포털의 사용자 목록이 유출된 사례는 France Titres(ANTS) 유출을 참고하세요.
출처(공개 기록)
이 글의 사실은 아래 공개 출처에서 가져왔습니다. 언론 보도의 추측, 재현 세부 정보, 공개되지 않은 건수는 사용하지 않았습니다.
- Companies House, "Update on Companies House WebFiling security issue"(2026년 3월 16일, 3월 18일 업데이트) — gov.uk
- Companies House, "WebFiling issue: information and updates"(2026년 3월 20일 게시, 4월 8일 업데이트) — gov.uk
- Companies House, "Email to registered companies about the WebFiling security issue"(2026년 3월 17일) — gov.uk
- House of Commons Business and Trade Committee, "Letter from Companies House relating to online filing service faults, 19 March 2026"(2026년 3월 25일 게시) — committees.parliament.uk
- Companies House, "Company authentication codes for online filing" — gov.uk
- Companies House, "Protecting your company from fraud and scams" — gov.uk
업데이트 기록
2026-09-30: 최초 버전. Companies House 성명(3월 16일, 3월 18일 업데이트), 안내 페이지(4월 8일 버전), 모든 회사에 보낸 이메일 사본, 하원 위원회 서한(3월 19일자), 인증 코드와 사기 예방에 관한 안내를 바탕으로 작성했습니다. Companies House는 ICO를 포함한 잠재적 조사가 끝날 때까지 안내 페이지를 업데이트하지 않겠다고 밝혔습니다. 조사 결과나 독립 검토가 공개되면 이 글을 업데이트합니다.
다음으로 읽을거리
- 일본에서 같은 유형의 사례: 일본 e-Tax에 다른 사람의 증여세 신고서가 표시됨(신고자 79명)
- 2026년 정부 유출 요약: 2026년 정부 데이터 유출 4건과 시민이 할 수 있는 일
- 용어: IDOR(안전하지 않은 직접 객체 참조)란? / OWASP Top 10이란?
- 개념: 인증 대 권한 부여
- 올해의 다른 유럽 사례: Trenitalia 데이터 유출(이탈리아) / France Titres(ANTS) 유출(프랑스)
- 2026년 다른 사고: 유출 및 사이버 공격 목록(일본 및 전 세계)