Microsoft chiude SMS e voce per Entra ID il 1 febbraio 2027

Microsoft fissa il 1 febbraio 2027 come data limite

L'avviso, MC1528000, annuncia che Microsoft chiuderà l'autenticazione SMS e vocale che fornisce a partire dal 1 febbraio 2027. BleepingComputer ne ha parlato il 28 ottobre e WindowsReport il 29 ottobre.

Per gli amministratori è una data fissa, senza migrazione automatica. O spostano gli utenti da soli, oppure si appoggiano a un operatore esterno. Microsoft non ha precisato cosa comporti una scadenza mancata, oltre alle interruzioni di accesso per chi usa ancora SMS o voce. Il cambiamento riguarda solo i tenant workforce di Entra ID. Azure AD B2C ed Entra External ID, i prodotti per l'identità dei clienti, non sono toccati. Secondo Microsoft i codici SMS e vocali sono esposti al phishing e al SIM swapping, in cui un aggressore trasferisce un numero di telefono su un'altra SIM per ricevere i codici destinati al legittimo proprietario.

Agli amministratori resta un passaggio netto e una lista breve di metodi ammessi.

Cosa devono fare gli amministratori

Gli amministratori devono passare a metodi resistenti al phishing: passkey, autenticazione con codice QR e chiavi di sicurezza FIDO2. Le organizzazioni che hanno ancora bisogno dell'accesso via telefono hanno una sola strada. Devono collegare un operatore esterno tramite il Microsoft Security Store, una configurazione che Microsoft chiama customer-managed telecom provider. Microsoft indirizza gli amministratori verso uno script di scansione. Lo script PowerShell Entra SMS/Voice Policy Scanner individua utenti e configurazioni interessati. Chi ha ancora SMS o voce attivi diventa idoneo alle passkey. Riceve un invito alla registrazione al tentativo di autenticazione a più fattori successivo, secondo il resoconto dell'avviso fatto da WindowsReport.

Le passkey sono già il metodo predefinito, e la maggior parte è sincronizzata

Da settembre 2026 Microsoft sta spostando il metodo di autenticazione predefinito dei tenant workforce di Entra ID sulle passkey, secondo i due resoconti. Il piano era stato annunciato a luglio. Ad agosto 2026 l'azienda ha anche bloccato una funzione che permetteva ai clienti gratuiti di Entra ID di usare gli SMS come metodo di accesso principale. Le passkey registrate da quegli utenti sono per lo più sincronizzate. Hana Kim, senior product manager di Microsoft, ha detto ad Authenticate 2026 che il 75% delle passkey registrate in Entra nel mese precedente era sincronizzato. Le passkey sincronizzate sono cresciute del 330% rispetto al mese precedente, ha aggiunto.

Le passkey sincronizzate scambiano il legame con l'hardware con la possibilità di recupero. Arie Olshtein di Palo Alto Networks l'ha definito ad Authenticate 2026 un compromesso voluto: nessun segreto condiviso da sottrarre con il phishing, ma una superficie più ampia attorno alla chiave.

Il percorso di recupero è l'anello debole

Parte di quella superficie è l'account cloud, il servizio di sincronizzazione e il dispositivo che lo apre. L'attacco mostrato da Olshtein non tocca la passkey in sé. La campagna UNC6671 sfrutta il phishing sul recupero di iCloud Keychain, inoltra un vero codice di verifica Apple e poi chiede il passcode dell'iPhone. Il dispositivo dell'aggressore entra così nel portachiavi e riceve tutte le passkey sincronizzate. Il divario emerge nei livelli di garanzia. Le passkey sincronizzate stanno al NIST AAL2 e quelle legate al dispositivo all'AAL3, mentre la maggior parte dei percorsi di recupero con codici SMS, link via email o chiamate al supporto si colloca intorno all'AAL1. SecurityWeek ha fatto un'osservazione simile il 30 ottobre: le passkey rafforzano l'autenticazione, ma non risolvono la questione se un account sia stato creato legittimamente fin dall'inizio.

Cosa succede ora

La dismissione inizia il 1 febbraio 2027. Microsoft avverte che le organizzazioni impreparate potrebbero andare incontro a interruzioni dell'accesso per gli utenti.

Gli account Microsoft personali, compresi Outlook.com, OneDrive e Microsoft 365 consumer, seguono un flusso separato nelle impostazioni di sicurezza dell'account. La raccomandazione di Microsoft è semplice. Creare una nuova passkey prima di rimuovere quella vecchia.