Для кого: директора и корпоративные секретари компаний, зарегистрированных в Великобритании (включая британские дочерние компании зарубежных групп), бухгалтеры и агенты, подающие документы от их имени, и разработчики сервисов, где многие клиенты используют одну систему. Статья основана на заявлениях, руководствах и общем письме всем компаниям, опубликованных Companies House на GOV.UK, а также на письме его исполнительного директора комитету Палаты общин. Здесь не описывается, как воспроизвести или использовать эту ошибку.
Что сегодня должны сделать директора и сотрудники компании
Проверьте зарегистрированные данные и историю подач
Companies House просит каждую компанию на всякий случай проверить свои зарегистрированные данные и историю подач в WebFiling и в публичном сервисе Find and update company information.
Ищите назначения или прекращения полномочий директоров, изменения юридического адреса или отчётность, которую вы не подавали. По словам Companies House, существующие документы не могли быть удалены или изменены, а любая принятая подача появляется в истории подач.
Если что-то выглядит неправильно, сообщите так, как просит Companies House
Отправьте письмо на enquiries@companieshouse.gov.uk с "WebFiling issue" в теме письма, указав название и номер компании и как можно больше подробностей о проблеме. Companies House говорит, что чем больше информации вы предоставите, тем легче будет провести расследование и решить проблему.
Включите бесплатный сервис Follow
Companies House рекомендует Follow: откройте страницу вашей компании в Find and update company information и выберите "Follow this company", чтобы получать мгновенное письмо каждый раз, когда подаётся документ.
Follow не сообщает об изменениях в данных, которые не публикуются в публичном реестре; чтобы увидеть закрытые данные вашей компании, войдите в WebFiling.
Проверьте код аутентификации компании
Код аутентификации компании — это буквенно-цифровой код из 6 символов, который подтверждает онлайн-подачи и равнозначен подписи должностного лица компании. Руководство Companies House советует обращаться с ним так же аккуратно, как с PIN-кодом банковской карты, и менять его, если его знает человек, которому вы не доверяете, или тот, кто больше не уполномочен подавать документы, например бывший сотрудник или прежний бухгалтер. Companies House никогда не будет запрашивать код по телефону.
Обратите внимание: в связи с этим инцидентом Companies House сказал, что пароли менять не нужно, и не просил компании менять коды; это общая рекомендация по безопасности.
Распознавайте подлинное уведомление по электронной почте
Companies House отправлял письма на зарегистрированный адрес электронной почты каждой компании с 17 по 19 марта с адреса companies.house@notifications.service.gov.uk, который не принимает ответы. Если приходит письмо, якобы об этом инциденте, не входите в систему по ссылкам из него; откройте WebFiling на GOV.UK самостоятельно (см. Что такое фишинг?).
Если закрытие помешало вам успеть к сроку, сохраните доказательства и подайте апелляцию
Если вы пропустили срок подачи отчётности из-за закрытия WebFiling с 13 по 16 марта, Companies House говорит, что звонить не нужно; подайте документы как можно скорее и сохраните запись о том, когда вы пытались получить доступ к сервису. Если будет назначен штраф за просрочку, подайте апелляцию онлайн и приложите скриншоты и отметки времени.
Пользователь A входит в систему и запрашивает данные компании B
↓
① Аутентификация: кто это?
Вошедший в систему зарегистрированный пользователь → проходит (это работало)
② Авторизация: может ли он работать с B?
При определённой последовательности действий эта проверка не сработала
↓
Возможно видно
День рождения, домашний адрес, зарегистрированный адрес электронной почты компании
Возможно подано
Новые подачи (отчётность, смена директоров); существующие документы изменить было нельзя
Защита: выполнять проверку ② на каждом запросе и проверять на каждом релизе, что запрос данных другой компании отклоняется
Что произошло (по данным Companies House)
Всё ниже приведено так, как указано в этих официальных документах:
- Заявление Companies House (16 марта, обновлено 18 марта)
- Страница руководства "WebFiling issue: information and updates" (опубликована 20 марта, обновлена 8 апреля)
- Копия его письма всем компаниям (17 марта)
- Письмо его исполнительного директора комитету Палаты общин по бизнесу и торговле (от 19 марта, опубликовано 25 марта)
11 октября 2025
Крупное системное обновление WebFiling. По словам Companies House, ошибка появилась именно тогда.Пт, 13 марта 2026
Companies House узнал о проблеме после письма от третьей стороны. Он закрыл WebFiling в 13:30, чтобы расследовать и исправить её.Пн, 16 марта, 9:00
WebFiling вновь открыт после независимого всестороннего тестирования. Заявление было опубликовано в тот же день; Companies House сообщил, что уведомил об инциденте Управление комиссара по информации (ICO) и Национальный центр кибербезопасности (NCSC).17–19 марта
Письма отправлены на зарегистрированный адрес электронной почты каждой компании.19 марта
В письме комитету Палаты общин исполнительный директор сообщил, что мониторинг предназначен для выявления сбоев систем и кибератак и не сработал, поскольку это была функциональная ошибка.20 марта
Опубликована страница руководства "WebFiling issue: information and updates".8 апреля
Руководство обновлено: выявлено очень небольшое число случаев неавторизованного доступа или попыток изменений, которые, как считается, связаны между собой; доказательств более широкого использования нет. Companies House сообщил, что привлечёт независимую третью сторону для проверки своего подхода и не будет дополнительно обновлять страницу, пока не завершатся возможные расследования, в том числе со стороны ICO.
- Возможно видно
- Для директоров и PSC — день даты рождения (обычно в публичном реестре указываются только месяц и год) и домашний адрес; зарегистрированный адрес электронной почты компании
- Возможные действия
- Неавторизованные подачи (например, новая отчётность или смена директора). Существующие документы нельзя было изменить или удалить, а принятые подачи появляются в истории подач
- Кто мог воспользоваться
- Только вошедший в систему зарегистрированный пользователь (например, должностное лицо компании или агент), выполнивший определённую последовательность действий; не широкая публика. Companies House говорит, что ошибку нельзя было использовать для массового извлечения данных
- Не затронуто
- Пароли (сброс не нужен); данные для подтверждения личности, такие как информация о паспорте и персональные коды; уже поданные документы; люди, подавшие заявление о защите своих данных в соответствии с Companies Act 2006
- Причина (по данным Companies House)
- Ошибка в приложении, появившаяся с крупным релизом. В письме исполнительного директора говорится, что предварительные выводы указывают на то, что она не была выявлена при тестировании или коллегиальной проверке
- Прослеживаемость
- Согласно письму, все изменения фиксируются и связываются с вошедшей в систему учётной записью, поэтому можно установить, кто изменил запись; определить, сколько раз через ошибку был получен доступ к данным, на тот момент было невозможно
- Сообщения и дальнейшие шаги
- Сообщено в ICO и NCSC. Подробный анализ извлечённых уроков с последующей независимой проверкой третьей стороной
Как читать цифры: очень небольшое число не опубликовано
В обновлении Companies House от 8 апреля упоминается "очень небольшое число" случаев неавторизованного доступа или попыток изменений, но числа не приводится. Эта статья не использует количество инцидентов или просмотренных компаний, которые официально не опубликованы. Она также не описывает последовательность действий, запустившую ошибку, поскольку это может облегчить злоупотребление.
Что должны знать директора: почему важны даты рождения и домашние адреса
В Великобритании домашние адреса директоров и день их даты рождения обычно не публикуются в публичном реестре. На этот раз они могли быть видны другим вошедшим в систему пользователям. Для британской дочерней компании зарубежной группы, директор которой живёт за границей, такой зарубежный домашний адрес может входить в число затронутых данных.
Публично: видно любому в реестре
- Имена директоров, месяц и год рождения
- Адрес для переписки (адрес для корреспонденции)
- История подач (отчётность, смена директоров и т. д.)
Непубличные данные: могли быть видны в этом инциденте
- День рождения (вместе с месяцем и годом — полная дата)
- Домашние адреса директоров и PSC
- Зарегистрированный адрес электронной почты компании (не публикуется)
Полная дата рождения вместе с домашним адресом — это сочетание, которое часто используется для ответа на вопросы при проверке личности. Зарегистрированный адрес электронной почты компании — это адрес, на который приходят официальные сообщения Companies House. Две меры защиты:
- Никогда не считайте, что знание вашей даты рождения или адреса посторонними — повод доверять звонку или письму
- Для любого сообщения, якобы от Companies House на зарегистрированный адрес электронной почты, самостоятельно откройте GOV.UK, а не переходите по ссылкам из письма
Урок для разработчиков: мониторинг атак не найдёт ошибок авторизации
Это не было вторжением извне. Законно вошедший в систему пользователь мог видеть данные другой компании (другого арендатора). В терминах безопасности это проблема нарушенного контроля доступа, близкая к типу, известному как IDOR (небезопасная прямая ссылка на объект).
При IDOR достаточно изменить идентификатор в запросе, чтобы получить доступ к чужим данным. Различие между аутентификацией и авторизацией описано в статье Аутентификация и авторизация.
Позиция этого сайта: предотвращать тестами авторизации, а не мониторингом атак
В письме комитету Палаты общин исполнительный директор Companies House объяснил, что мониторинг был предназначен для выявления сбоев систем и кибератак и не сработал, поскольку это была функциональная ошибка. Проблема стала известна из письма от третьей стороны.
Здесь есть урок для всех, кто создаёт сервис, где многие клиенты используют одну систему. Доступ через брешь в авторизации выглядит как законные действия вошедшего в систему пользователя: никакого подозрительного трафика, никаких массовых загрузок. Поэтому надёжнее предотвращать такую проблему на этапе разработки, чем искать её в эксплуатации.
- Проверяйте "может ли этот пользователь работать с этой компанией?" на каждом запросе. Не полагайтесь на то, что предыдущий экран или шаг уже всё проверил. Для каждого чтения и записи проверяйте на сервере связь между вошедшим пользователем и целевой записью.
- Автоматизируйте тесты, подтверждающие, что запросы чужих данных отклоняются, и запускайте их на каждом релизе. Действуйте от имени пользователя A, запросите просмотр или изменение данных компании B и проверьте, что запрос отклонён. По данным Companies House, эта ошибка появилась с крупным релизом и не была выявлена ни тестированием, ни коллегиальной проверкой.
Функциональные тесты проверяют, что работает то, что должно работать; тесты авторизации проверяют, что не работает то, что работать не должно. Последние легче всего упустить при больших релизах, поэтому их нужно автоматизировать, а не полагаться на ручные проверки. - Фиксируйте изменения за учётной записью, которая их внесла. Companies House говорит, что каждое изменение записывалось и связывалось с вошедшей учётной записью, поэтому можно установить, кто внёс изменение, однако определить, сколько раз просматривались данные, пока было нельзя. Журналирование операций чтения также позволяет впоследствии показать масштаб инцидента.
- Дайте людям со стороны возможность сообщить о проблеме. Эта проблема была найдена по письму извне. Опубликованный контакт для сообщений об уязвимостях (например, файл security.txt) помогает тем, кто обнаружил проблему, быстро сообщить о ней.
О другом европейском случае этого года, когда маршруты из списка клиентов попали в открытый доступ, см. утечку данных Trenitalia; о случае, когда список пользователей государственного портала подачи заявлений попал в открытый доступ, см. утечку данных France Titres (ANTS).
Источники (публичные данные)
Факты в этой статье взяты из следующих публичных источников. Предположения из медиаматериалов, подробности воспроизведения и неопубликованные цифры не используются.
- Companies House, "Update on Companies House WebFiling security issue" (16 марта 2026; обновлено 18 марта) — gov.uk
- Companies House, "WebFiling issue: information and updates" (опубликовано 20 марта 2026; обновлено 8 апреля) — gov.uk
- Companies House, "Email to registered companies about the WebFiling security issue" (17 марта 2026) — gov.uk
- House of Commons Business and Trade Committee, "Letter from Companies House relating to online filing service faults, 19 March 2026" (опубликовано 25 марта 2026) — committees.parliament.uk
- Companies House, "Company authentication codes for online filing" — gov.uk
- Companies House, "Protecting your company from fraud and scams" — gov.uk
История обновлений
2026-09-30: Первая версия, основанная на заявлении Companies House (16 марта, обновлено 18 марта), его странице руководства (версия от 8 апреля), копии общего письма всем компаниям, письме комитету Палаты общин (от 19 марта), а также на руководствах по кодам аутентификации и мошенничеству. Companies House сообщил, что не будет обновлять страницу руководства, пока не завершатся возможные расследования, в том числе со стороны ICO; эта статья будет обновлена, если будут опубликованы выводы или результаты независимой проверки.
Читайте далее
- Такой же паттерн в Японии: в японской системе e-Tax показывались чужие декларации о налоге на дарение (79 плательщиков)
- Обзор государственных утечек 2026 года: четыре утечки государственных данных в 2026 году и что могут сделать граждане
- Термины: Что такое IDOR (небезопасная прямая ссылка на объект)? / Что такое OWASP Top 10?
- Концепции: Аутентификация и авторизация
- Другие европейские случаи этого года: Утечка данных Trenitalia (Италия) / Утечка данных France Titres (ANTS) (Франция)
- Другие инциденты 2026 года: список утечек и кибератак (Япония и весь мир)