Microsoft advierte a los clientes de Entra sobre la retirada de la autenticación por SMS en febrero de 2027

La autenticación por SMS y voz de Microsoft Entra se retirará el 1 de febrero de 2027, a medida que Microsoft comienza a trasladar a los clientes hacia las passkeys y otros métodos de inicio de sesión resistentes al phishing.

Microsoft ha empezado a enviar correos electrónicos a las organizaciones de Entra ID afectadas sobre el próximo cambio, según Neowin. La compañía ya había anunciado que la MFA por SMS y voz de Entra ID se retiraría, pero ahora está contactando directamente a los clientes a medida que se acerca la fecha límite de migración.

Microsoft comenzará la transición en septiembre

El proceso de migración empieza el 1 de septiembre de 2026. Entra ID habilitará automáticamente la compatibilidad con passkeys para los usuarios que actualmente dependen de la autenticación por SMS o voz.

Los usuarios afectados también empezarán a ver avisos de inicio de sesión que los animarán a registrar un passkey. Microsoft ha estado impulsando cada vez más a los clientes hacia las passkeys a medida que los ataques a contraseñas y a la autenticación se vuelven más sofisticados.

Los usuarios que aún no hayan configurado un passkey u otro método resistente al phishing compatible antes del 1 de febrero de 2027 se enfrentarán a un bloqueo obligatorio de registro durante el inicio de sesión. Deberán configurar un método de autenticación aceptado antes de acceder a sus cuentas.

Microsoft afirma que la autenticación por SMS conlleva riesgos de seguridad

Microsoft señala que los atacantes pueden comprometer cada vez más la autenticación por SMS mediante métodos como el intercambio de SIM y el phishing de adversario en el medio.

Las passkeys evitan los códigos de autenticación temporales y las contraseñas que los atacantes pueden interceptar o robar.

Las organizaciones que deban seguir utilizando la autenticación telefónica por motivos normativos o de cumplimiento tendrán otra opción. Microsoft les permitirá usar proveedores de telecomunicaciones administrados por el cliente disponibles a través de Microsoft Security Store.

Los precios de los proveedores estarán disponibles el 18 de septiembre de 2026, y las organizaciones podrán comenzar a configurar los proveedores admitidos a partir del 30 de octubre.

Los administradores deberían identificar ahora a los usuarios afectados

Los administradores de TI deberían revisar su Directiva de métodos de autenticación e identificar las cuentas que aún dependen de la autenticación por SMS o voz antes de que comience la migración en septiembre.

Microsoft recomienda trasladar proactivamente a esos usuarios a las passkeys. Las organizaciones pueden configurar passkeys mediante Microsoft Authenticator o llaves de seguridad de hardware compatibles.

El cambio no se limita a los clientes empresariales. Microsoft también está eliminando progresivamente la autenticación por SMS para las cuentas personales de Microsoft.