Регистрационная палата Великобритании подтвердила, что уязвимость в системе безопасности привела к утечке данных компании.

[zender]

Companies House, британское правительственное агентство, которое ведет реестр всех компаний Великобритании, сообщает, что его сервис WebFiling возобновил работу после закрытия в пятницу для устранения уязвимости в системе безопасности, из-за которой информация о компаниях была раскрыта с октября 2025 года.


Дэн Нейдл, основатель некоммерческой организации Tax Policy Associates, сообщил об уязвимости в британский корпоративный реестр в пятницу после того, как Джон Хьюитт из Ghost Mail (который обнаружил недостаток) не получил ответа.


«Все, что требовалось, — это войти в Companies House, используя свои личные данные, и получить доступ к панели управления своей компании. Затем нужно было выбрать опцию «подать заявку на другую компанию» и ввести номер любой из пяти миллионов компаний, зарегистрированных в Companies House», — сказал Нейдл .


«В этот момент вас попросят ввести код аутентификации, которого у вас, конечно же, нет. Ничего страшного. Нажмите несколько раз кнопку «Назад», чтобы вернуться на свою панель управления. Только вот — это не ваша панель управления. Это панель управления другой компании».


Нейдл добавил, что из-за этой уязвимости в течение пяти месяцев были раскрыты данные пяти миллионов зарегистрированных компаний, включая домашние и электронные адреса их руководства.

В понедельник Регистрационная палата Великобритании подтвердила наличие уязвимости после возобновления работы сервиса подачи документов и сообщила, что проблема возникла в результате обновления системы WebFiling в октябре 2025 года.




В агентстве заявили, что уязвимость могла быть использована только авторизованными пользователями и позволила бы им «изменять некоторые элементы данных другой компании без их согласия». Однако они также добавили, что уязвимость в системе безопасности могла быть использована для кражи данных и доступа к корпоративным записям только по одной записи за раз.


«В ходе нашего расследования было установлено, что конкретные данные отдельных компаний, обычно не публикуемые в реестре Companies House, могли быть доступны другим зарегистрированным пользователям WebFiling», — отметили в Companies House .


«Это включает даты рождения, адреса проживания и корпоративные адреса электронной почты. Также возможно, что несанкционированные документы — такие как отчетность или информация об изменениях в составе директоров — могли быть внесены в реестр другой компании».


Как добавило ведомство, пароли пользователей не были скомпрометированы, а данные, используемые в процессе проверки личности, такие как паспортные данные, не были доступны, пока сервис находился в уязвимом состоянии. Кроме того, «никакие существующие документы, такие как счета или подтверждающие выписки, не могли быть изменены».

Впоследствии агентство сообщило об инциденте в Управление комиссара по информации Великобритании (ICO) и Национальный центр кибербезопасности (NCSC) и проводит расследование, чтобы выяснить, была ли эта уязвимость использована для доступа или изменения каких-либо данных компании.


«На данном этапе у нас нет сообщений о несанкционированном доступе к данным или их изменении», — говорится в сегодняшнем заявлении Регистрационной палаты компаний. «Однако наше расследование продолжается. Мы будем предоставлять дальнейшие обновления по мере продвижения нашей работы и по-прежнему привержены принципу прозрачности на протяжении всего процесса».