Le ministère de l'Intérieur renforce la sécurité du système de gestion des sponsors après une série d'alertes de violation

Le Home Office a mis à jour son guide du Sponsor Management System (SMS), en introduisant une authentification multi-facteurs (MFA) obligatoire pour tous les utilisateurs de licences de sponsor, ainsi qu’une limitation à deux appareils par utilisateur pour les connexions. Ces réformes, publiées le 24 septembre 2026, font suite à une enquête sur des attaques par « credential stuffing » visant des cabinets de services professionnels plus tôt cette année. À partir du 15 octobre, les sponsors devront enregistrer au moins deux utilisateurs de niveau 1 et s’assurer que chacun active la MFA via l’application gov.uk One Login. Le rôle d’utilisateur de niveau 2, en place depuis longtemps, sera supprimé le 9 septembre 2027, obligeant les entreprises à mettre à jour les autorisations sous peine de perdre l’accès. Le Home Office précise que ces mesures permettront « d’aligner la conformité des sponsors sur les normes gouvernementales plus larges en matière de cybersécurité ». Pour les équipes RH et mobilité internationale, le changement opérationnel majeur est l’obligation de revoir trimestriellement les comptes inactifs et de signaler toute compromission de données d’accès dans les 24 heures. Le non-respect de ces règles pourrait entraîner un audit de conformité inopiné, une perspective qui inquiète déjà de nombreuses PME aux ressources limitées. Le guide met également en garde contre le stockage des mots de passe SMS dans des tableaux partagés, une pratique courante révélée lors des audits récents. Les experts recommandent de procéder immédiatement à une revue des accès et de mettre à jour les politiques internes, le Home Office ayant mis en place un mécanisme de rétrogradation rapide pouvant suspendre l’émission des certificats de parrainage sous 48 heures en cas de violations graves.