Para: diretores e secretários de empresas registradas no Reino Unido (incluindo subsidiárias britânicas de grupos estrangeiros), contadores e representantes que arquivam em seu nome, e desenvolvedores que criam serviços em que muitos clientes compartilham um mesmo sistema. Este artigo se baseia em comunicados, orientações e no e-mail enviado a todas as empresas que o Companies House publicou no GOV.UK, além da carta de seu Diretor Executivo a uma comissão da Câmara dos Comuns. Ele não descreve como reproduzir ou explorar o defeito.
O que diretores e funcionários da empresa devem fazer hoje
Verifique seus dados cadastrais e o histórico de arquivamentos
O Companies House pede que cada empresa verifique, por precaução, seus dados cadastrais e o histórico de arquivamentos, no WebFiling e no serviço público Find and update company information.
Procure nomeações ou encerramentos de diretores, mudanças no endereço registrado ou contas que você não arquivou. Segundo o Companies House, os documentos existentes não puderam ser removidos ou alterados, e qualquer arquivamento aceito aparece no histórico de arquivamentos.
Se algo parecer errado, comunique da forma que o Companies House pede
Envie um e-mail para enquiries@companieshouse.gov.uk com "WebFiling issue" no campo de assunto, incluindo o nome e o número da sua empresa e o máximo de detalhes possível sobre a preocupação. O Companies House afirma que, quanto mais informações forem fornecidas, mais fácil será investigar e resolver o problema.
Ative o serviço gratuito Follow
O Companies House recomenda o Follow: abra a página da sua empresa no Find and update company information e selecione "Follow this company" para receber um e-mail instantâneo sempre que um documento for arquivado.
O Follow não avisa sobre mudanças em informações que não são publicadas no registro público; para ver as informações privadas da sua empresa, faça login no WebFiling.
Revise o código de autenticação da empresa
O código de autenticação da empresa é um código alfanumérico de 6 caracteres que autoriza arquivamentos online e equivale à assinatura de um responsável da empresa. A orientação do Companies House diz para tratá-lo com o mesmo cuidado que o PIN de um cartão bancário, e para alterá-lo se alguém em quem você não confia o souber, ou se alguém que não está mais autorizado a arquivar, como ex-funcionários ou um contador anterior, o souber. O Companies House nunca pedirá o código por telefone.
Observe que, neste incidente, o Companies House afirmou que as senhas não precisam ser redefinidas e não pediu que as empresas alterassem códigos; esta é uma recomendação geral de boas práticas.
Reconheça o e-mail de notificação legítimo
O Companies House enviou e-mails ao endereço registrado de cada empresa entre 17 e 19 de março, a partir de companies.house@notifications.service.gov.uk, um endereço que não recebe respostas. Se chegar um e-mail que afirme ser sobre este incidente, não faça login pelos links dele; abra o WebFiling no GOV.UK por conta própria (veja O que é phishing?).
Se o fechamento fez você perder um prazo, guarde provas e recorra
Se você perdeu o prazo de arquivamento de contas porque o WebFiling esteve fechado de 13 a 16 de março, o Companies House afirma que você não precisa ligar; arquive o quanto antes e guarde um registro de quando tentou acessar o serviço. Se for aplicada uma multa por atraso, recorra online e inclua capturas de tela e registros de data e hora.
O usuário A faz login e solicita os dados da empresa B
↓
① Autenticação: quem é este?
Um usuário registrado logado → passa (isto funcionou)
② Autorização: pode atuar sobre a B?
Em uma sequência específica de ações, esta verificação não se sustentou
↓
Possivelmente visível
Dia de nascimento, endereço residencial, e-mail registrado da empresa
Possivelmente arquivado
Novos arquivamentos (contas, mudanças de diretor); documentos existentes não puderam ser alterados
Defesa: executar ② em cada solicitação e testar, a cada versão, que pedidos de outra empresa são recusados
O que aconteceu (segundo o Companies House)
Tudo o que se segue é o que consta nestes documentos oficiais:
- O comunicado do Companies House (16 de março, atualizado em 18 de março)
- A página de orientação "WebFiling issue: information and updates" (publicada em 20 de março, atualizada em 8 de abril)
- A cópia do e-mail enviado a todas as empresas (17 de março)
- A carta de seu Diretor Executivo à Comissão de Negócios e Comércio da Câmara dos Comuns (datada de 19 de março, publicada em 25 de março)
11 de outubro de 2025
Uma grande atualização do sistema WebFiling. Segundo o Companies House, o defeito foi introduzido nessa data.Sex., 13 de março de 2026
O Companies House tomou conhecimento do problema após um e-mail de um terceiro. Ele fechou o WebFiling às 13h30 para investigar e corrigir o problema.Seg., 16 de março, 9h
O WebFiling foi reaberto após testes independentes e abrangentes. Um comunicado foi publicado no mesmo dia; o Companies House afirmou que havia comunicado o incidente ao Information Commissioner's Office (ICO) e ao National Cyber Security Centre (NCSC).17–19 de março
E-mails enviados ao endereço registrado de cada empresa.19 de março
Em carta à comissão da Câmara dos Comuns, o Diretor Executivo afirmou que o monitoramento foi projetado para detectar falhas de sistema e ataques cibernéticos e não foi acionado porque se tratava de um defeito funcional.20 de março
Publicada a página de orientação "WebFiling issue: information and updates".8 de abril
Orientação atualizada: foi identificado um número muito pequeno de casos de acesso não autorizado ou tentativas de alteração, considerados relacionados, sem evidência de exploração mais ampla. O Companies House afirmou que contratará um terceiro independente para revisar sua abordagem e que não atualizará mais a página até que eventuais investigações, inclusive pelo ICO, sejam concluídas.
- Possivelmente visível
- Para diretores e PSCs, o dia da data de nascimento (normalmente só mês e ano constam no registro público) e o endereço residencial; o e-mail registrado da empresa
- Ações possíveis
- Arquivamentos não autorizados (por exemplo, novas contas ou mudanças de diretor). Documentos existentes não puderam ser editados ou removidos, e arquivamentos aceitos aparecem no histórico de arquivamentos
- Quem poderia usar
- Apenas um usuário registrado e logado (como um responsável da empresa ou um representante) executando uma sequência específica de ações; não o público em geral. O Companies House afirma que não poderia ser usado para extrair dados em massa
- Não afetados
- Senhas (não é necessário redefinir); dados de verificação de identidade, como informações de passaporte e códigos pessoais; documentos já arquivados; pessoas que haviam solicitado a proteção de seus dados nos termos do Companies Act 2006
- Causa (segundo o Companies House)
- Um defeito de aplicação introduzido com uma grande versão. A carta do Diretor Executivo afirma que as conclusões preliminares indicam que ele não foi identificado nos testes nem por revisão por pares
- Rastreabilidade
- Segundo a carta, todas as alterações são registradas e vinculadas à conta logada, por isso é possível rastrear quem alterou um registro; não era possível determinar, no momento, quantas vezes as informações foram acessadas por meio do defeito
- Comunicações e próximos passos
- Comunicado ao ICO e ao NCSC. Uma revisão detalhada das lições aprendidas, seguida de uma revisão por terceiro independente
Como ler os números: o número muito pequeno não foi publicado
A atualização de 8 de abril do Companies House menciona "um número muito pequeno" de casos de acesso não autorizado ou tentativas de alteração, mas não informa a quantidade. Este artigo não usa contagens de incidentes ou de empresas visualizadas que não tenham sido oficialmente publicadas. Também não descreve a sequência de ações que acionou o defeito, pois isso poderia permitir o uso indevido.
O que os diretores devem saber: por que datas de nascimento e endereços residenciais importam
No Reino Unido, os endereços residenciais dos diretores e o dia de sua data de nascimento normalmente ficam fora do registro público. Desta vez, eles podem ter ficado visíveis para outros usuários logados. Para uma subsidiária britânica de um grupo estrangeiro cujo diretor mora no exterior, esse endereço residencial no exterior pode estar entre os dados envolvidos.
Público: qualquer pessoa pode ver no registro
- Nomes dos diretores, mês e ano de nascimento
- Endereço para correspondência (endereço de serviço)
- Histórico de arquivamentos (contas, mudanças de diretor etc.)
Não público: possivelmente visível neste incidente
- Dia de nascimento (com mês e ano, a data completa)
- Endereços residenciais de diretores e PSCs
- E-mail registrado da empresa (não publicado)
A data de nascimento completa somada a um endereço residencial é uma combinação frequentemente usada para responder a perguntas de verificação de identidade. O e-mail registrado da empresa é o endereço que recebe as mensagens oficiais do Companies House. Duas defesas:
- Nunca considere que alguém saber sua data de nascimento ou seu endereço é um motivo para confiar em uma ligação ou e-mail
- Para qualquer mensagem que se diga do Companies House enviada ao e-mail registrado, abra o GOV.UK por conta própria em vez de usar os links da mensagem
A lição para desenvolvedores: o monitoramento de ataques não detecta falhas de autorização
Não se tratou de uma invasão vinda de fora. Foi um usuário legítimo e logado conseguindo ver os dados de outra empresa (de outro tenant). Em termos de segurança, trata-se de um problema de controle de acesso quebrado, próximo do tipo conhecido como IDOR (referência direta insegura a objeto).
No IDOR, basta alterar um identificador em uma requisição para acessar os dados de outra pessoa. A diferença entre autenticação e autorização é tratada em Autenticação vs autorização.
Visão deste site: impedir com testes de autorização, não com monitoramento de ataques
Em carta à comissão da Câmara dos Comuns, o Diretor Executivo do Companies House explicou que o monitoramento foi projetado para detectar falhas de sistema e ataques cibernéticos e não foi acionado porque se tratava de um defeito funcional. O problema veio à tona por meio de um e-mail de um terceiro.
Há uma lição aqui para quem cria um serviço em que muitos clientes compartilham um mesmo sistema. O acesso por meio de uma falha de autorização parece um usuário legítimo e logado fazendo coisas comuns: nenhum tráfego suspeito, nenhum download em massa. Por isso, é mais confiável preveni-lo durante o desenvolvimento do que procurá-lo em produção.
- Verifique "este usuário pode atuar sobre esta empresa?" em cada requisição. Não confie no fato de que uma tela ou etapa anterior já fez essa verificação. Para cada leitura e cada escrita, valide no servidor a relação entre o usuário logado e o registro-alvo.
- Automatize testes que confirmem que solicitações de dados de outra pessoa são recusadas e execute-os a cada versão. Atue como o usuário A, solicite a visualização ou a alteração dos dados da empresa B e confirme que a solicitação é recusada. Segundo o Companies House, este defeito surgiu com uma grande versão e não foi detectado por testes nem por revisão por pares.
Testes funcionais verificam se o que deve funcionar funciona; testes de autorização verificam se o que não deve acontecer realmente não acontece. Estes últimos são os mais fáceis de perder em grandes versões, por isso automatize-os em vez de depender de verificações manuais. - Registre as alterações vinculadas à conta que as fez. O Companies House afirma que cada alteração foi registrada e vinculada à conta logada, o que permite rastrear quem fez uma mudança, mas ainda não era possível dizer quantas vezes os dados foram visualizados. Registrar também as leituras permite demonstrar a extensão de um incidente depois.
- Ofereça a pessoas de fora uma forma de reportar. Este problema foi identificado por meio de um e-mail de fora. Um canal de contato publicado para reportes (por exemplo, um arquivo security.txt) ajuda quem encontra um problema a avisá-lo rapidamente.
Para outro caso europeu deste ano em que itinerários vazaram de uma lista de clientes, veja o vazamento de dados da Trenitalia; para um caso em que a lista de usuários de um portal governamental de solicitações vazou, veja o incidente com a France Titres (ANTS).
Fontes (registros públicos)
Os fatos deste artigo vêm das fontes públicas abaixo. Especulações da cobertura da mídia, detalhes de reprodução e números não publicados não são usados.
- Companies House, "Update on Companies House WebFiling security issue" (16 de março de 2026; atualizado em 18 de março) — gov.uk
- Companies House, "WebFiling issue: information and updates" (publicado em 20 de março de 2026; atualizado em 8 de abril) — gov.uk
- Companies House, "Email to registered companies about the WebFiling security issue" (17 de março de 2026) — gov.uk
- House of Commons Business and Trade Committee, "Letter from Companies House relating to online filing service faults, 19 March 2026" (publicado em 25 de março de 2026) — committees.parliament.uk
- Companies House, "Company authentication codes for online filing" — gov.uk
- Companies House, "Protecting your company from fraud and scams" — gov.uk
Histórico de atualizações
2026-09-30: Primeira versão, com base no comunicado do Companies House (16 de março, atualizado em 18 de março), em sua página de orientação (versão de 8 de abril), na cópia do e-mail enviado a todas as empresas, na carta à comissão da Câmara dos Comuns (datada de 19 de março) e em suas orientações sobre códigos de autenticação e fraudes. O Companies House afirmou que não atualizará sua página de orientação até que eventuais investigações, inclusive pelo ICO, sejam concluídas; este artigo será atualizado se as conclusões ou a revisão independente forem publicadas.
Leia em seguida
- O mesmo padrão no Japão: o e-Tax do Japão exibiu declarações de imposto sobre doações de outras pessoas (79 contribuintes)
- Resumo de vazamentos governamentais de 2026: quatro vazamentos de dados governamentais de 2026 e o que os cidadãos podem fazer
- Termos: O que é IDOR (referência direta insegura a objeto)? / O que é o OWASP Top 10?
- Conceitos: Autenticação vs autorização
- Outros casos europeus deste ano: O vazamento de dados da Trenitalia (Itália) / O incidente com a France Titres (ANTS) (França)
- Outros incidentes de 2026: lista de vazamentos e ataques cibernéticos (Japão e mundo)