2026年9月 英国担保牌照SMS启用多重验证

英国担保牌照持有人使用Sponsorship Management System（SMS）时，将陆续需要完成多重身份验证。UKVI于2026年8月28日发布SMS Manual 13，并在9月1日补充无障碍网页版本，确认Multi-Factor Authentication（MFA）将成为所有SMS用户的强制登录功能。

MFA启用后，Level 1及Level 2 User仍会先输入原有的SMS User ID和密码，随后还须输入一次性验证码。Level 1 User通常通过登记的手机号码接收六位数验证码；没有手机号码时可以选择登记邮箱。Level 2 User则通过SMS账户内登记的邮箱接收验证码。验证码有效期为十分钟，并且每次登录SMS都需要重新验证。

UKVI官方SMS Manual 13对于担保雇主而言，真正需要提前处理的并不是技术设置本身，而是确保SMS内的用户资料仍然准确。企业应核对Level 1及Level 2 User的个人邮箱，检查Level 1 User的手机号码和出生日期，并确认相关人员仍然在职且确实需要系统权限。Level 2 User不能自行修改邮箱资料，如资料错误，需要由Level 1 User处理。

出生日期尤其值得注意。Level 1 User首次设置MFA、修改手机号码或邮箱时，可能需要输入SMS账户中已经登记的出生日期。如果连续三次输入错误，账户可能被锁定24小时；如系统记录本身不正确，则可能需要通过Sponsor Change of Circumstances程序向Home Office申请更正。在企业需要紧急签发CoS或申报员工变动时，账户无法登录可能直接影响合规操作。

UKVI表示，MFA将分阶段向所有担保牌照账户开放。Authorising Officer、Key Contact以及Level 1和Level 2 User会在各自账户启用前约两周收到通知。因此，不同企业实际启用日期可能并不相同，雇主应以Home Office发给本企业关键人员的正式通知为准，而不应假设所有账户在同一天切换。

这次变化也增加了防范钓鱼邮件的重要性。Home Office明确表示，不会通过邮件发送SMS登录链接，也不会要求用户在SMS系统以外提供User ID、密码、验证码或出生日期。用户应自行从GOV.UK进入SMS；如果在没有尝试登录时突然收到验证码，不应向任何人透露，并应考虑账户是否可能受到未经授权的访问。

企业还应检查目前的SMS权限安排是否能够支持业务连续性。只有一名Level 1 User的企业，在该人员休假、离职、手机遗失或账户被锁定时可能无法及时完成担保操作；但增加高权限用户也会扩大内部安全和管理风险。是否增设备用Level 1 User，应结合企业规模、实际担保活动及内部审批制度评估，并继续遵守个人账户不得共用、密码及验证码不得转交他人的要求。

Vision Legal Services可协助担保雇主检查SMS关键人员资料、Level 1及Level 2权限安排和内部账户管理流程，并评估MFA启用后可能影响CoS签发、员工变动申报及其他担保责任的操作风险。如企业收到具体启用通知，可在正式切换前安排针对性的账户及合规检查。

本文仅提供一般信息，并非针对任何个人或企业具体情况的法律意见。