Microsoft advierte a los clientes de Entra sobre el retiro de la autenticación por SMS en febrero de 2027

La autenticación por SMS y voz de Microsoft Entra se retirará el 1 de febrero de 2027, a medida que Microsoft comienza a trasladar a los clientes hacia el uso de passkeys y otros métodos de inicio de sesión resistentes al phishing.

Microsoft ha comenzado a enviar correos electrónicos a las organizaciones de Entra ID afectadas sobre el próximo cambio, según Neowin. La empresa había anunciado previamente que la MFA por SMS y voz de Entra ID se retiraría, pero ahora está contactando directamente a los clientes a medida que se acerca el plazo de migración.

Microsoft iniciará la transición en septiembre

El proceso de migración comenzará el 1 de septiembre de 2026. Entra ID habilitará automáticamente la compatibilidad con passkeys para los usuarios que actualmente dependen de la autenticación por SMS o voz.

Los usuarios afectados también empezarán a ver avisos de inicio de sesión que les animarán a registrar un passkey. Microsoft ha estado impulsando cada vez más a los clientes hacia el uso de passkeys a medida que los ataques a contraseñas y a la autenticación se vuelven más sofisticados.

Los usuarios que para el 1 de febrero de 2027 aún no hayan configurado un passkey u otro método resistente al phishing admitido se enfrentarán a un bloqueo de registro obligatorio durante el inicio de sesión. Deberán configurar un método de autenticación aceptado antes de acceder a sus cuentas.

Microsoft advierte que la autenticación por SMS conlleva riesgos de seguridad

Microsoft advierte que los atacantes pueden comprometer cada vez más la autenticación por SMS mediante métodos como el intercambio de SIM y el phishing de adversario en el medio.

Los passkeys evitan los códigos de autenticación temporales y las contraseñas que los atacantes pueden interceptar o robar.

Las organizaciones que deban seguir utilizando la autenticación telefónica por razones normativas o de cumplimiento tendrán otra opción. Microsoft les permitirá usar proveedores de telecomunicaciones gestionados por el cliente disponibles a través de Microsoft Security Store.

Los precios de los proveedores estarán disponibles el 18 de septiembre de 2026, mientras que las organizaciones podrán empezar a configurar los proveedores admitidos a partir del 30 de octubre.

Los administradores deben identificar a los usuarios afectados ahora

Los administradores de TI deben revisar su directiva de métodos de autenticación (Authentication Methods Policy) e identificar las cuentas que aún dependen de la autenticación por SMS o voz antes de que comience la migración en septiembre.

Microsoft recomienda migrar a esos usuarios a passkeys de forma proactiva. Las organizaciones pueden configurar passkeys a través de Microsoft Authenticator o llaves de seguridad de hardware compatibles.

El cambio no se limita a los clientes empresariales. Microsoft también está eliminando progresivamente la autenticación por SMS para las cuentas personales de Microsoft.