Microsoft avverte i clienti Entra in merito alla dismissione dell'autenticazione SMS a febbraio 2027

L’autenticazione SMS e vocale di Microsoft Entra sarà ritirata il 1° febbraio 2027, mentre Microsoft inizia a orientare i clienti verso le passkey e altri metodi di accesso resistenti al phishing.

Microsoft ha iniziato a inviare email alle organizzazioni Entra ID interessate in merito al prossimo cambiamento, secondo Neowin. L’azienda aveva già annunciato che l’MFA via SMS e vocale di Entra ID sarebbe stata ritirata, ma ora sta contattando direttamente i clienti con l’avvicinarsi della scadenza per la migrazione.

Microsoft avvierà la transizione a settembre

Il processo di migrazione inizierà il 1° settembre 2026. Entra ID attiverà automaticamente il supporto per le passkey per gli utenti che attualmente dipendono dall’autenticazione SMS o vocale.

Gli utenti interessati inizieranno anche a vedere messaggi di accesso che li incoraggiano a registrare una passkey. Microsoft ha spinto sempre più i clienti verso le passkey, man mano che gli attacchi alle password e all’autenticazione diventano più sofisticati.

Gli utenti che non avranno ancora configurato una passkey o un altro metodo supportato resistente al phishing entro il 1° febbraio 2027 si troveranno di fronte a un blocco di registrazione obbligatorio durante l’accesso. Dovranno configurare un metodo di autenticazione accettato prima di poter accedere ai propri account.

Microsoft afferma che l’autenticazione SMS comporta rischi per la sicurezza

Microsoft afferma che gli aggressori possono compromettere sempre più spesso l’autenticazione SMS tramite metodi come lo scambio di SIM (SIM-swapping) e il phishing Adversary-in-the-Middle.

Le passkey evitano codici di autenticazione temporanei e password che gli aggressori possono intercettare o rubare.

Le organizzazioni che devono continuare a utilizzare l’autenticazione telefonica per motivi normativi o di conformità avranno un’altra opzione. Microsoft consentirà loro di utilizzare provider di telecomunicazioni gestiti dai clienti, disponibili tramite il Microsoft Security Store.

I prezzi dei provider saranno disponibili il 18 settembre 2026, mentre le organizzazioni potranno iniziare a configurare i provider supportati a partire dal 30 ottobre.

Gli amministratori dovrebbero identificare subito gli utenti interessati

Gli amministratori IT dovrebbero esaminare i propri criteri di Authentication Methods Policy e identificare gli account che dipendono ancora dall’autenticazione SMS o vocale prima dell’inizio della migrazione a settembre.

Microsoft consiglia di spostare proattivamente tali utenti alle passkey. Le organizzazioni possono configurare le passkey tramite Microsoft Authenticator o chiavi di sicurezza hardware compatibili.

La modifica non è limitata ai clienti aziendali. Microsoft sta anche eliminando gradualmente l’autenticazione SMS per gli account Microsoft personali.