适用对象：在英国注册公司的董事和公司秘书（包括海外集团的英国子公司）、代其备案的会计师和代理人，以及构建多客户共享同一系统服务的开发人员。本文基于 Companies House 在 GOV.UK 上发布的声明、指南和致全体公司的邮件，以及其首席执行官致下议院委员会的信件。本文不描述如何重现或利用该缺陷。
董事和公司工作人员今天应做什么
检查您的注册信息和备案历史
Companies House 要求每家公司作为预防措施，在 WebFiling 以及公共 Find and update company information 服务中检查其注册信息和备案历史。
注意是否有您未提交的董事任命或离任、注册办公地址变更或账目。据 Companies House 称，现有文件无法被删除或修改，任何被接受的备案都会出现在备案历史中。
如发现异常，按 Companies House 的要求报告
发送邮件至 enquiries@companieshouse.gov.uk，主题写明“WebFiling issue”，并注明公司名称和编号，尽可能详细地说明您的担忧。Companies House 表示，您提供的信息越多，调查和解决就越容易。
开启免费的 Follow 服务
Companies House 推荐使用 Follow：打开 Find and update company information 上您公司的页面，选择“Follow this company”，即可在有文件提交时立即收到邮件。
Follow 不会提醒您未在公共登记册上公布的信息变更；要查看公司的非公开信息，请登录 WebFiling。
检查您的公司身份验证码
公司身份验证码是一个6位字母数字代码，用于授权在线备案，相当于公司高管的签名。Companies House 的指南建议像对待银行卡 PIN 一样谨慎保管，如果您不信任的人知道该代码，或者不再被授权备案的人（如前员工或前任会计师）知道该代码，请更改。Companies House 绝不会通过电话索要该代码。
请注意，就此次事件而言，Companies House 表示密码无需重置，也没有要求公司更改代码；这只是一般性的日常维护。
识别真正的通知邮件
Companies House 于3月17日至19日之间，从 companies.house@notifications.service.gov.uk（一个无需回复的地址）向每家公司的注册邮箱发送了邮件。如果收到声称与本次事件相关的邮件，请不要通过其中的链接登录；请自行打开 GOV.UK 上的 WebFiling（参见 什么是网络钓鱼？）。
如因关闭而错过期限，保留证据并申诉
如果您因 WebFiling 在3月13日至16日期间关闭而错过了账目备案期限，Companies House 表示您无需致电；请尽快备案，并保留您尝试访问该服务的时间记录。如果被处以逾期备案罚款，请在线申诉，并附上截图和时间戳。
用户 A 登录并请求公司 B 的信息
↓
① 身份验证：这是谁？
已登录的注册用户 → 通过（此环节有效）
② 授权：他们能否处理 B？
在特定操作序列下，此检查未能成立
↓
可能可见
出生日、住宅地址、公司注册电子邮件
可能被备案
新的备案（账目、董事变更）；现有文件无法被修改
防御：对每个请求都执行 ②，并在每次发布时测试请求其他公司的数据会被拒绝
事件经过（据 Companies House）
以下内容均来自这些官方文件的表述：
- Companies House 声明（3月16日，3月18日更新）
- 指南页面“WebFiling issue: information and updates”（3月20日发布，4月8日更新）
- 其致全体公司邮件的副本（3月17日）
- 其首席执行官致下议院商业与贸易委员会的信件（日期为3月19日，3月25日发布）
2025年10月11日
对 WebFiling 进行大型系统更新。据 Companies House 称，缺陷就是在此时引入的。2026年3月13日（周五）
Companies House 在收到第三方邮件后得知该问题。它于下午1:30关闭了 WebFiling，以便调查和修复。3月16日（周一）上午9点
经独立、全面的测试后，WebFiling 重新开放。当天发布了声明；Companies House 表示已将事件报告给信息专员办公室（ICO）和国家网络安全中心（NCSC）。3月17日至19日
向每家公司的注册邮箱发送邮件。3月19日
在致下议院委员会的信中，首席执行官表示，监控系统旨在检测系统故障和网络攻击，由于这是功能性缺陷，因此未被触发。3月20日
发布指南页面“WebFiling issue: information and updates”。4月8日
指南更新：已发现极少数未经授权的访问或更改尝试，据信相互关联，且没有证据表明存在更大范围的利用。Companies House 表示，将聘请独立第三方审查其做法，并且在包括 ICO 在内的任何潜在调查结束之前，不会进一步更新该页面。
- 可能可见
- 对于董事和 PSC，出生日期中的日（通常公共登记册上只有月和年）和住宅地址；公司注册电子邮件地址
- 可能的操作
- 未经授权的备案（例如新账目或董事变更）。现有文件无法被编辑或删除，被接受的备案会出现在备案历史中
- 谁可能利用
- 只有已登录的注册用户（如公司高管或代理人）执行特定操作序列；并非普通公众。Companies House 表示，该缺陷无法被用于大批量提取数据
- 未受影响
- 密码（无需重置）；护照信息和个人代码等身份验证数据；已提交的现有文件；依据《2006年公司法》申请保护个人信息的人
- 原因（据 Companies House）
- 随一次大型发布引入的应用程序缺陷。首席执行官的信件称，初步调查结果显示，它未在测试或同行评审中被发现
- 可追溯性
- 据该信件，所有更改都会被记录并关联到已登录账户，因此可以追溯是谁更改了记录；但目前无法确定通过该缺陷访问信息的次数
- 报告与后续步骤
- 已报告给 ICO 和 NCSC。将进行详细的经验教训审查，随后进行独立第三方审查
如何理解这些数据：“极少数”尚未公布具体数字
Companies House 在4月8日的更新中提到“极少数”未经授权的访问或更改尝试，但未给出具体数量。本文不使用未经官方公布的事件数量或被查看公司数量。本文也不描述触发该缺陷的操作序列，因为这可能被滥用。
董事应了解的情况：为什么出生日和住宅地址很重要
在英国，董事的住宅地址和出生日期中的日通常不在公共登记册上公开。这次，它们可能被其他已登录用户看到。对于一家海外集团的英国子公司而言，如果其董事住在国外，那么该海外住宅地址可能也在涉及的数据之中。
公开：任何人都能在登记册上看到
- 董事姓名、出生的月和年
- 送达（服务）地址
- 备案历史（账目、董事变更等）
非公开：本次事件中可能可见
- 出生日（连同月和年，即完整日期）
- 董事和 PSC 的住宅地址
- 公司注册电子邮件地址（未公开）
完整的出生日期加上住宅地址，是常被用来回答身份核验问题的组合。公司注册电子邮件地址则是 Companies House 官方消息的发送地址。两项防范措施：
- 切勿因为对方知道您的出生日期或地址，就认为其电话或邮件可信
- 对于声称来自 Companies House、发到注册邮箱的任何邮件，请自行打开 GOV.UK，而不要使用邮件中的链接
给开发人员的启示：攻击监控无法发现授权漏洞
这并非来自外部的入侵。而是一名合法的已登录用户能够看到另一家公司（另一租户）的数据。从安全角度看，这是一个访问控制失效问题，与IDOR（不安全的直接对象引用）这一类型相近。
在 IDOR 中，只需更改请求中的一个标识符，就能访问他人的数据。身份验证与授权的区别见身份验证与授权。
本站观点：用授权测试来阻止问题，而不是依靠攻击监控
在致下议院委员会的信中，Companies House 首席执行官解释称，其监控系统旨在检测系统故障和网络攻击，由于这是功能性缺陷，因此未被触发。该问题是通过第三方邮件才被发现的。
对于任何构建多客户共享同一系统服务的人，这里有一个教训。通过授权漏洞进行的访问，看起来就像合法的已登录用户在做普通操作：没有可疑流量，也没有大规模下载。因此，在开发阶段预防，比在生产环境中监视更可靠。
- 对每个请求检查“该用户是否可以处理该公司？”不要依赖之前的界面或步骤已经做过检查这一前提。对于每一次读取和写入，都应在服务器端验证已登录用户与目标记录之间的关系。
- 自动化测试，确认请求他人数据会被拒绝，并在每次发布时运行。以用户 A 的身份请求查看或更改公司 B 的数据，并断言该请求被拒绝。据 Companies House 称，此缺陷随一次大型发布引入，且未被测试或同行评审发现。
功能测试检查应该可用的功能是否可用；授权测试检查不应可用的功能是否确实不可用。后者在大型发布中最容易被遗漏，因此应自动化，而不是依赖人工检查。 - 将更改记录到执行该更改的账户。Companies House 表示，每项更改都已被记录并关联到已登录账户，因此可以追溯是谁做出了更改，但目前尚无法判断信息被查看了多少次。记录读取操作也有助于事后说明事件的影响范围。
- 为外部人员提供报告途径。此问题是通过外部邮件发现的。公开的报告联系方式（例如 security.txt 文件）有助于发现问题的人迅速告知您。
关于今年另一起欧洲案例（客户名单中的行程信息遭泄露），请见Trenitalia 数据泄露事件；关于政府申请门户的用户名单泄露案例，请见France Titres（ANTS）泄露事件。
来源（公开记录）
本文的事实来自以下公开来源。媒体报道中的推测、复现细节以及未公布的数量均未采用。
- Companies House，“Update on Companies House WebFiling security issue”（2026年3月16日；3月18日更新）— gov.uk
- Companies House，“WebFiling issue: information and updates”（2026年3月20日发布；4月8日更新）— gov.uk
- Companies House，“Email to registered companies about the WebFiling security issue”（2026年3月17日）— gov.uk
- 英国下议院商业与贸易委员会，“Letter from Companies House relating to online filing service faults, 19 March 2026”（2026年3月25日发布）— committees.parliament.uk
- Companies House，“Company authentication codes for online filing”— gov.uk
- Companies House，“Protecting your company from fraud and scams”— gov.uk
更新记录
2026-09-30：首次发布，基于 Companies House 声明（3月16日，3月18日更新）、其指南页面（4月8日版本）、全体公司邮件副本、致下议院委员会的信件（日期为3月19日），以及其关于身份验证码和欺诈的指南。Companies House 表示，在包括 ICO 在内的任何潜在调查结束之前，不会更新其指南页面；如果发布调查结果或独立审查结果，本文将随之更新。
延伸阅读
- 日本的类似情况：日本 e-Tax 显示他人的赠与税申报表（79名申报人）
- 2026年政府数据泄露综述：2026年四起政府数据泄露事件及公民可采取的措施
- 术语：什么是 IDOR（不安全的直接对象引用）？ / 什么是 OWASP Top 10？
- 概念：身份验证与授权
- 今年其他欧洲案例：Trenitalia 数据泄露事件（意大利） / France Titres（ANTS）泄露事件（法国）
- 其他2026年事件：数据泄露与网络攻击列表（日本及全球）