Microsoft zakończy logowanie SMS-em i głosem w Entra ID 1 lutego 2027 r.

Microsoft wyznacza datę graniczną na 1 lutego 2027 r.

Komunikat MC1528000 mówi, że Microsoft zakończy dostarczane przez siebie uwierzytelnianie SMS i głosowe od 1 lutego 2027 r. BleepingComputer opisał to 28 października, a WindowsReport 29 października.

Dla administratorów to sztywna data bez automatycznej migracji. Albo sami przeniosą użytkowników, albo podłączą zewnętrznego operatora. Microsoft nie podał, co się stanie po przekroczeniu terminu poza zakłóceniami logowania u osób, które nadal korzystają z SMS lub połączeń głosowych. Zmiana obejmuje wyłącznie dzierżawy pracownicze Entra ID. Azure AD B2C i Entra External ID, produkty tożsamości dla klientów, nie są objęte zmianą. Microsoft twierdzi, że kody SMS i głosowe są podatne na phishing i SIM swapping, czyli przeniesienie numeru do innego operatora, żeby przechwycić kody wysyłane do właściciela.

Administratorom zostaje więc nagłe przejście i krótka lista zatwierdzonych metod.

Co muszą zrobić administratorzy

Administratorzy muszą przenieść użytkowników na metody odporne na phishing: passkeys, uwierzytelnianie kodem QR i klucze bezpieczeństwa FIDO2. Organizacje, które nadal potrzebują logowania telefonicznego, mają jedną drogę. Muszą podłączyć zewnętrznego operatora przez Microsoft Security Store, w ramach rozwiązania, które Microsoft nazywa zarządzanym przez klienta dostawcą telekomunikacyjnym. Microsoft wskazuje administratorom skrypt skanujący. Skrypt PowerShell Entra SMS/Voice Policy Scanner znajduje użytkowników i konfiguracje objęte zmianą. Użytkownicy, którzy nadal mają włączone SMS lub połączenia głosowe, będą mogli zarejestrować passkeys. Przy następnej próbie uwierzytelniania wieloskładnikowego dostają monit o rejestrację, według relacji WindowsReport z komunikatu.

Passkeys są już domyślne, a większość jest synchronizowana

Microsoft od września 2026 r. przełącza domyślną metodę uwierzytelniania w dzierżawach pracowniczych Entra ID na passkeys, podają oba serwisy. Plan ogłosił w lipcu. W sierpniu 2026 r. zatrzymał też funkcję, która pozwalała darmowym klientom Entra ID używać SMS jako głównej metody logowania. Passkeys, które rejestrują ci użytkownicy, są w większości synchronizowane. Hana Kim, starsza menedżerka produktu w Microsofcie, powiedziała na Authenticate 2026, że 75% passkeys zarejestrowanych w Entra w poprzednim miesiącu było synchronizowanych. Ich liczba rosła o 330% miesiąc do miesiąca, powiedziała.

Synchronizowane passkeys wymieniają powiązanie ze sprzętem na możliwość odzyskania. Arie Olshtein z Palo Alto Networks nazwał to na Authenticate 2026 świadomym kompromisem: nie ma wspólnego sekretu do wyłudzenia, ale rośnie powierzchnia ataku wokół klucza.

Najsłabszym ogniwem jest odzyskiwanie

Na tę powierzchnię ataku składa się konto w chmurze, usługa synchronizacji i urządzenie, które je otwiera. Atak pokazany przez Olshteina nie dotyka samego passkey. Kampania UNC6671 wyłudza dane do odzyskiwania iCloud Keychain, przekazuje prawdziwy kod weryfikacyjny Apple, a potem prosi o kod dostępu do iPhone'a. Urządzenie atakującego dołącza do pęku kluczy i odbiera wszystkie synchronizowane passkeys. Lukę widać w poziomach zapewnienia. Synchronizowane passkeys odpowiadają NIST AAL2, klucze przypisane do urządzenia AAL3, a większość ścieżek odzyskiwania z kodami SMS, linkami w mailu lub telefonem do help desku to mniej więcej AAL1. SecurityWeek zwrócił uwagę na pokrewną kwestię 30 października: passkeys wzmacniają uwierzytelnianie, ale nie rozstrzygają, czy konto powstało legalnie.

Co dalej

Wycofywanie zaczyna się 1 lutego 2027 r. Microsoft ostrzega, że organizacje, które się nie przygotują, mogą spotkać się z zakłóceniami logowania użytkowników.

Osobiste konta Microsoft, w tym Outlook.com, OneDrive i konsumencki Microsoft 365, mają osobną ścieżkę w ustawieniach bezpieczeństwa konta. Wskazówka Microsoftu jest prosta: utwórz nowy passkey, zanim usuniesz stary.