適用對象：在英國註冊之公司的董事與公司秘書（包括海外集團的英國子公司）、代為申報的會計師與代理人，以及開發由多個客戶共用同一系統之服務的開發者。本文依據 Companies House 在 GOV.UK 發布的聲明、指引與全公司電子郵件，以及其執行長寄給下議院委員會的信函編寫。本文不說明如何重現或利用此缺陷。
董事與公司人員今天應該做什麼
檢查您的登記資料與申報紀錄
Companies House 要求每家公司預防性地檢查其登記資料與申報紀錄，可在 WebFiling 以及公開的 Find and update company information 服務上進行。
請留意是否有您未申報的董事任命或解任、登記辦公地址變更，或帳目。根據 Companies House，既有文件無法被移除或修改，任何被接受的申報都會出現在申報紀錄中。
若發現異常，依 Companies House 的要求通報
寄信至 enquiries@companieshouse.gov.uk，主旨寫上「WebFiling issue」，並附上您的公司名稱與號碼，以及您能提供的關於此疑慮的詳細資訊。Companies House 表示，您提供的資訊越多，調查與解決就越容易。
開啟免費的 Follow 服務
Companies House 推薦使用 Follow：開啟 Find and update company information 上您公司的頁面，選擇「Follow this company」，即可在每次有文件申報時立即收到電子郵件。
Follow 不會通知您未公布於公開登記冊之資訊的變更；若要查看您公司的非公開資訊，請登入 WebFiling。
檢視您的公司驗證碼
公司驗證碼（company authentication code）是 6 位英數字元的代碼，用來授權線上申報，相當於公司負責人的簽名。Companies House 的指引表示，應將其視同銀行卡的 PIN 碼一樣謹慎保管；若您不信任的人知道此代碼，或已不再獲授權申報的人（例如前任員工或先前的會計師）知道此代碼，就應該更換。Companies House 絕不會透過電話索取此代碼。
請注意，就本次事件而言，Companies House 表示密碼不需要重設，也沒有要求公司更換代碼；這只是一般性的安全維護。
辨識真正的通知電子郵件
Companies House 於 3 月 17 日至 19 日間，從 companies.house@notifications.service.gov.uk（為不接收回覆的地址）寄信給每家公司的登記電子郵件地址。若收到自稱與本事件有關的電子郵件，請勿點擊其中的連結登入；請自行打開 GOV.UK 上的 WebFiling（參見 什麼是網路釣魚？）。
若因關閉而錯過期限，保留證據並申訴
若您因 WebFiling 於 3 月 13 日至 16 日關閉而錯過帳目申報期限，Companies House 表示您不需要致電；請儘快申報，並保留您嘗試存取服務的時間紀錄。若被處以逾期申報罰款，請線上申訴，並附上截圖與時間戳記。
使用者 A 登入並要求公司 B 的資料
↓
① 身分驗證：這是誰？
已登入的註冊使用者 → 通過（此部分運作正常）
② 授權：他們可以處理 B 嗎？
在特定一連串操作下，此檢查未能成立
↓
可能可見
出生日中的日、住家地址、公司登記電子郵件
可能被申報
新申報（帳目、董事變更）；既有文件無法被修改
防禦方式：每次請求都執行 ②，並在每次發布時測試要求他公司資料會被拒絕
發生了什麼（依 Companies House 說明）
以下內容皆依據這些官方文件所述：
- Companies House 聲明（3 月 16 日，3 月 18 日更新）
- 指引頁面「WebFiling issue: information and updates」（3 月 20 日發布，4 月 8 日更新）
- 寄給所有公司之電子郵件的副本（3 月 17 日）
- 其執行長寄給下議院商業與貿易委員會的信函（日期為 3 月 19 日，3 月 25 日發布）
2025 年 10 月 11 日
WebFiling 進行大型系統更新。根據 Companies House，缺陷是在此時引入的。2026 年 3 月 13 日（週五）
Companies House 在收到第三方的電子郵件後得知此問題。為調查與修復，它於下午 1:30 關閉 WebFiling。3 月 16 日（週一）上午 9 點
經獨立且全面的測試後，WebFiling 重新開放。當日發布聲明；Companies House 表示已將此事件通報資訊專員辦公室（ICO）與英國國家網路安全中心（NCSC）。3 月 17 日至 19 日
寄送電子郵件給每家公司的登記電子郵件地址。3 月 19 日
執行長在給委員會的信函中表示，監控係設計用來偵測系統故障與網路攻擊，且因為這是功能性缺陷而未被觸發。3 月 20 日
發布指引頁面「WebFiling issue: information and updates」。4 月 8 日
指引更新：已發現極少數未經授權存取或嘗試變更的情況，認為彼此相關，且沒有證據顯示有更廣泛的利用。Companies House 表示將委託獨立第三方檢視其處理方式，並在包括 ICO 在內的任何潛在調查結束前，不會再更新此頁面。
- 可能可見
- 對於董事與 PSC，出生日中的日（通常公開登記冊上只有月與年）與住家地址；公司登記電子郵件地址
- 可能的操作
- 未經授權的申報（例如新帳目或董事變更）。既有文件無法被編輯或移除，被接受的申報會出現在申報紀錄中
- 誰可能使用
- 僅限已登入的註冊使用者（例如公司負責人或代理人）執行特定一連串操作；並非一般大眾。Companies House 表示此缺陷無法被用來大量擷取資料
- 未受影響
- 密碼（不需重設）；身分驗證資料，例如護照資訊與個人代碼；既有已提交文件；依《2006 年公司法》申請保護其資料的人
- 原因（依 Companies House 說明）
- 隨重大版本發布而引入的應用程式缺陷。執行長的信函表示，初步調查結果顯示它未在測試或同儕審查中被發現
- 可追溯性
- 根據該信函，所有變更都有紀錄並連結至已登入的帳戶，因此可以追查是誰變更了紀錄；但目前無法確定資訊透過此缺陷被存取了多少次
- 通報與後續步驟
- 已通報 ICO 與 NCSC。將進行詳細的經驗檢討，之後由獨立第三方進行審查
如何解讀數字：極少數的情況尚未公布
Companies House 在 4 月 8 日的更新中提到「極少數」未經授權存取或嘗試變更的情況，但未提供數量。本文不使用尚未正式公布的事件數或被檢視公司數。本文也不說明觸發此缺陷的操作順序，因為這可能助長濫用。
董事應該知道：為什麼出生日與住家地址很重要
在英國，董事的住家地址與出生日中的日通常不會列於公開登記冊。這次，它們可能被其他已登入的使用者看到。對於董事住在海外、為海外集團之英國子公司，該海外住家地址可能也在受影響的資料之中。
公開：任何人都能在登記冊上看到
- 董事姓名、出生的月與年
- 通訊（送達）地址
- 申報紀錄（帳目、董事變更等）
非公開：本次事件中可能可見
- 出生日中的日（連同月與年，即完整日期）
- 董事與 PSC 的住家地址
- 公司登記電子郵件地址（未公布）
完整的出生日加上住家地址，是常被用來回答身分驗證問題的組合。公司登記電子郵件地址則是 Companies House 官方訊息寄送之處。以下兩項防禦措施：
- 絕不要因為對方知道您的出生日或地址，就認定來電或來信可信
- 對於寄至登記電子郵件、自稱來自 Companies House 的任何訊息，請自行打開 GOV.UK，而非使用其中的連結
給開發者的教訓：攻擊監控找不到授權漏洞
這並非來自外部的入侵。而是一位合法、已登入的使用者能夠看到另一家公司（另一個租戶）的資料。以資安的角度來看，這屬於破損的存取控制問題，類似於被稱為 IDOR（不安全的直接物件參照） 的類型。
在 IDOR 中，只要更改請求中的識別碼，就足以取得他人資料。身分驗證與授權的差異，請參見 身分驗證與授權。
本站觀點：以授權測試阻止問題，而非依賴攻擊監控
Companies House 執行長在給下議院委員會的信函中說明，其監控係設計用來偵測系統故障與網路攻擊，且因為這是功能性缺陷而未被觸發。此問題是透過第三方的電子郵件才曝光的。
對於任何建立多個客戶共用同一系統之服務的人來說，這裡有一項教訓。透過授權漏洞的存取，看起來就像合法、已登入的使用者在做一般的事：沒有可疑的流量，也沒有大量下載。因此，在開發階段預防，比在正式環境中監看更可靠。
- 每次請求都檢查「此使用者是否有權處理此公司？」不要依賴先前的畫面或步驟已經檢查過。對於每一次讀取與寫入，都要在伺服器端驗證已登入的使用者與目標紀錄之間的關係。
- 自動化測試，確認要求他人資料的請求會被拒絕，並在每次發布時執行。以使用者 A 的身分要求檢視或變更公司 B 的資料，並確認該請求被拒絕。根據 Companies House，此缺陷是隨一次大型版本發布而引入的，且未被測試或同儕審查發現。
功能測試確認應該運作的事情確實運作；授權測試則確認不應該成功的事情確實失敗。後者在大型版本發布中最容易被遺漏，因此應該自動化，而非依賴人工檢查。 - 以執行變更的帳戶記錄變更。Companies House 表示，每項變更都有紀錄並連結至已登入的帳戶，因此可以追查是誰做了變更，但尚無法得知資料被檢視了幾次。同時記錄讀取行為，事後才能呈現事件的範圍。
- 提供外部人員通報的管道。此問題是透過外部的電子郵件發現的。公開的通報聯絡方式（例如 security.txt 檔案）能幫助發現問題的人迅速通知您。
若想了解今年另一起歐洲案例，其中行程資料從客戶名單外洩，請參見 Trenitalia 資料外洩事件；若想了解政府申請入口網站的使用者名單外洩案例，請參見 France Titres（ANTS）外洩事件。
資料來源（公開紀錄）
本文的事實取自以下公開來源。媒體報導中的推測、重現細節與未公布的數字均不採用。
- Companies House，「Update on Companies House WebFiling security issue」（2026 年 3 月 16 日；3 月 18 日更新）— gov.uk
- Companies House，「WebFiling issue: information and updates」（2026 年 3 月 20 日發布；4 月 8 日更新）— gov.uk
- Companies House，「Email to registered companies about the WebFiling security issue」（2026 年 3 月 17 日）— gov.uk
- 英國下議院商業與貿易委員會，「Letter from Companies House relating to online filing service faults, 19 March 2026」（2026 年 3 月 25 日發布）— committees.parliament.uk
- Companies House，「Company authentication codes for online filing」— gov.uk
- Companies House，「Protecting your company from fraud and scams」— gov.uk
更新紀錄
2026-09-30：首次發布，依據 Companies House 聲明（3 月 16 日，3 月 18 日更新）、其指引頁面（4 月 8 日版本）、全公司電子郵件副本、寄給下議院委員會的信函（日期為 3 月 19 日），以及其關於驗證碼與詐騙的指引撰寫。Companies House 表示，在包括 ICO 在內的任何潛在調查結束前，不會更新其指引頁面；若發布調查結果或獨立審查報告，本文將隨之更新。
延伸閱讀
- 日本的類似情況：日本 e-Tax 顯示他人的贈與稅申報書（79 位申報人）
- 2026 年政府資料外洩彙整：2026 年四起政府資料外洩事件，以及民眾可以怎麼做
- 名詞：什麼是 IDOR（不安全的直接物件參照）？ ／ 什麼是 OWASP Top 10？
- 概念：身分驗證與授權
- 今年其他歐洲案例：Trenitalia 資料外洩事件（義大利） ／ France Titres（ANTS）外洩事件（法國）
- 其他 2026 年事件：資料外洩與網路攻擊事件一覽（日本與全球）