El Ministerio del Interior refuerza la seguridad del Sistema de Gestión de Patrocinadores tras una serie de alertas por brechas

El Ministerio del Interior ha actualizado su guía del Sistema de Gestión de Patrocinadores (SMS), introduciendo la autenticación multifactor obligatoria (MFA) para todos los usuarios con licencia de patrocinador y limitando el acceso a un máximo de dos dispositivos por usuario. Estas reformas, publicadas el 24 de septiembre de 2026, responden a una investigación sobre ataques de relleno de credenciales que afectaron a firmas de servicios profesionales a principios de este año.

A partir del 15 de octubre, los patrocinadores deberán registrar al menos dos usuarios de Nivel 1 y asegurarse de que cada uno active la MFA a través de la aplicación gov.uk One Login. El rol de usuario de Nivel 2, vigente desde hace tiempo, será eliminado el 9 de septiembre de 2027, lo que obligará a las empresas a actualizar los permisos o arriesgarse a perder el acceso.



El Ministerio del Interior afirma que estas medidas “alinearán el cumplimiento de los patrocinadores con los estándares gubernamentales más amplios de ciberseguridad”. Para los equipos de Recursos Humanos y movilidad global, el cambio operativo más significativo es la nueva obligación de revisar trimestralmente las cuentas inactivas y reportar credenciales comprometidas en un plazo máximo de 24 horas. El incumplimiento podría desencadenar una auditoría de cumplimiento sin previo aviso, algo que ya preocupa a muchas pymes debido a sus recursos limitados.

La guía también advierte a los patrocinadores que no almacenen contraseñas del SMS en hojas de cálculo compartidas, una práctica común detectada en auditorías recientes. Los expertos recomiendan realizar una revisión inmediata de accesos y actualizar las políticas internas, ya que el Ministerio ha implementado un mecanismo acelerado de degradación que puede suspender la emisión de Certificados de Patrocinio en un plazo de 48 horas si se detectan infracciones graves.