Microsoft avverte i clienti Entra del ritiro dell'autenticazione SMS a febbraio 2027

L’autenticazione tramite SMS e chiamata vocale di Microsoft Entra verrà ritirata il 1° febbraio 2027, mentre Microsoft inizia a spostare i clienti verso passkey e altri metodi di accesso resistenti al phishing.

Microsoft ha iniziato a inviare email alle organizzazioni Entra ID interessate in merito al cambiamento imminente, come riportato da Neowin. L’azienda aveva già annunciato che l’autenticazione a più fattori (MFA) tramite SMS e chiamata vocale di Entra ID sarebbe stata ritirata, ma ora sta contattando direttamente i clienti con l’avvicinarsi della scadenza per la migrazione.

Microsoft avvierà la transizione a settembre

Il processo di migrazione inizierà il 1° settembre 2026. Entra ID abiliterà automaticamente il supporto per le passkey per gli utenti che attualmente dipendono dall’autenticazione tramite SMS o chiamata vocale.

Gli utenti interessati inizieranno anche a visualizzare richieste di accesso che li incoraggiano a registrare una passkey. Microsoft sta spingendo sempre più i clienti verso le passkey, poiché gli attacchi a password e autenticazione diventano più sofisticati.

Gli utenti che non avranno ancora configurato una passkey o un altro metodo resistente al phishing supportato entro il 1° febbraio 2027 si troveranno di fronte a un blocco di registrazione obbligatorio durante l’accesso. Dovranno configurare un metodo di autenticazione accettato prima di poter accedere ai propri account.

Microsoft afferma che l’autenticazione SMS comporta rischi per la sicurezza

Microsoft afferma che gli aggressori possono compromettere sempre più l’autenticazione SMS tramite metodi come il SIM swapping e il phishing Adversary-in-the-Middle.

Le passkey evitano codici di autenticazione temporanei e password che gli aggressori possono intercettare o rubare.

Le organizzazioni che devono continuare a utilizzare l’autenticazione telefonica per motivi normativi o di conformità avranno un’altra opzione. Microsoft consentirà loro di utilizzare provider di telecomunicazioni gestiti dal cliente, disponibili tramite Microsoft Security Store.

I prezzi dei provider saranno disponibili il 18 settembre 2026, mentre le organizzazioni potranno iniziare a configurare i provider supportati dal 30 ottobre.

Gli amministratori dovrebbero identificare subito gli utenti interessati

Gli amministratori IT dovrebbero esaminare i propri Criteri per i metodi di autenticazione e identificare gli account che dipendono ancora dall’autenticazione SMS o vocale prima che inizi la migrazione a settembre.

Microsoft consiglia di spostare proattivamente tali utenti alle passkey. Le organizzazioni possono configurare le passkey tramite Microsoft Authenticator o chiavi di sicurezza hardware compatibili.

La modifica non è limitata ai clienti aziendali. Microsoft sta anche eliminando gradualmente l’autenticazione SMS per gli account Microsoft personali.