В течение последних 5 месяцев ошибка в сервисе Companies House WebFiling позволяла пользователям, зарегистрированным в одной компании, получать доступ к некоторым элементам данных других компаний в реестре и изменять их без их согласия.
Об уязвимости было сообщено в Companies House 13 марта 2026 года. Она позволяла любому пользователю с учетными данными для входа — то есть любому, кто отвечает за обновление записи своей компании в реестре, — войти в систему, изменить целевой адрес в браузере, чтобы он указывал на запись другой компании, и просмотреть даты рождения, адреса проживания и адреса электронной почты компании, зарегистрированные там. Также могла быть возможность внесения несанкционированных данных, таких как отчетность или изменения в составе директоров, в запись другой компании.
Companies House считает, что ошибка была внесена при обновлении системы WebFiling в октябре 2025 года. Система была отключена сразу после обнаружения ошибки. Проблема устранена, и система снова работает.
«Мы считаем, что эта уязвимость не могла быть использована для извлечения больших объемов данных или для систематического доступа к записям», — заявил исполнительный директор Companies House Энди Кинг. «Любой доступ был бы ограничен отдельными записями компаний, просматриваемыми по одной зарегистрированным пользователем WebFiling».
По словам Кинга, никакие существующие документы, такие как отчеты или подтверждающие заявления, не могли быть изменены, и пароли не были скомпрометированы. Доступ к данным, используемым в рамках процесса проверки личности Companies House, таким как паспортные данные, не осуществлялся.
Новая процедура требует от 6 до 7 миллионов должностных лиц компаний, владельцев бизнеса и лиц, осуществляющих значительный контроль, подтвердить свою личность в первый год ее действия. Директора, назначенные после ноября 2025 года, уже должны подтвердить свою личность для регистрации компании или назначения в существующую компанию.
«На данном этапе у нас нет сообщений о несанкционированном доступе к данным или их изменении, [хотя] наше расследование продолжается», — сказал Кинг.
Организация анализирует свои данные для выявления любых аномалий и намерена связаться с каждой зарегистрированной компанией по электронной почте, чтобы объяснить, как проверить свои данные и какие шаги следует предпринять в случае возникновения каких-либо проблем.
По материалам STEP