Falha no Companies House do Reino Unido Expõe Dados Corporativos a Fraudadores

A falha no WebFiling do Companies House não foi um ataque externo, mas uma falha de autorização introduzida em outubro de 2025 durante a migração para o GOV.UK One Login, um erro que ficou ativo por cinco meses sem detecção. O problema permitia que qualquer usuário logado, com acesso legítimo ao sistema, burlasse controles de sessão pressionando 'voltar' repetidamente após a tela de autenticação, acessando dados sensíveis de outras empresas: datas de nascimento (apenas o dia), endereços residenciais de diretores e e-mails corporativos. Esses dados, embora parciais, são suficientes para fraudes como roubo de identidade ou personificação de empresas em operações bancárias ou fiscais.

O serviço ficou fora do ar por mais de 63 horas, entre 13h30 de 13/03 e 9h de 16/03, e só voltou após testes independentes. Apesar de o Companies House afirmar que senhas e documentos já arquivados não foram afetados, a brecha abria caminho para alterações não autorizadas em tempo real: mudanças de diretores, envio de contas falsas ou atualizações maliciosas de endereços de correspondência, tudo sem rastreamento automático de quem fez o que, pois o sistema não registrava adequadamente a empresa-alvo da ação.

Esse caso expõe um risco crônico em sistemas governamentais de registro: a priorização de integração técnica sobre controle de acesso granular. Ao migrar para um novo provedor de identidade, o Companies House não revalidou as regras de autorização em todas as transições de tela, especialmente em fluxos secundários como 'file for another company'. Para empresas brasileiras com filiais no Reino Unido ou que usam dados do Companies House para due diligence, a falha significa que informações de contato e estrutura societária podem ter sido manipuladas sem aviso. E o pior: não há mecanismo automático de notificação de alteração, cabe à empresa verificar manualmente seu próprio registro, o que torna a detecção tardia e a resposta reativa.