Microsoft przypomina firmom o zmianach w uwierzytelnianiu Entra ID. Od 1 lutego 2027 roku usługa przestanie natywnie dostarczać kody SMS i połączenia głosowe dla większości użytkowników. Zamiast tego Microsoft promuje passkeys i inne metody odporne na phishing.

Kogo obejmie zmiana?

Nowe zasady dotyczą środowisk służbowych zarządzanych w Microsoft Entra ID, a nie automatycznie każdego prywatnego konta Outlook.com. Dla administratorów globalnych i użytkowników zewnętrznych termin wycofania natywnego SMS/voice przesunięto na 1 lipca 2027 roku.

Co powinien zrobić administrator?

Przed terminem trzeba wdrożyć i przetestować odpowiednie metody logowania, np. passkeys, Windows Hello lub klucze FIDO2. Jeśli organizacja nadal potrzebuje SMS albo połączeń głosowych, Microsoft opisuje możliwość skorzystania z zewnętrznego dostawcy telekomunikacyjnego. Bez przygotowania użytkownicy mogą zostać poproszeni o rejestrację passkey podczas logowania.

Przy okazji warto przypomnieć różnicę między kodem jednorazowym a rozwiązaniem odpornym na phishing. Wyjaśniłem podstawy w tekście co to jest uwierzytelnianie dwuskładnikowe 2FA. O problemie przejmowania sesji pomimo MFA informowałem wcześniej w tekście Huntress o atakach na Microsoft 365.