Microsoft Entra trece la passkeys: ce trebuie să facă firmele care folosesc SMS pentru MFA

Dacă firma ta folosește Microsoft 365 și angajații primesc coduri MFA prin SMS, schimbarea începută de Microsoft Entra la 1 septembrie 2026 te privește direct. Microsoft îi mută treptat pe utilizatorii cu SMS sau apel vocal către passkeys. Termenul critic este 1 februarie 2027, când Microsoft își retrage serviciul propriu de SMS și apel vocal pentru autentificare.

Ce s-a schimbat la 1 septembrie 2026?

Utilizatorii care au SMS sau apel vocal activate în Authentication Methods Policy sau în configurările MFA vechi sunt introduși automat în politica de passkeys. Microsoft le configurează și o campanie de înregistrare (Registration Campaign): după autentificarea MFA obișnuită, li se propune să își configureze o passkey. În configurația Microsoft Managed, propunerea poate fi amânată la început.

Cine este afectat?

Firmele care folosesc Microsoft Entra ID sau Microsoft 365 și au:

• angajați care primesc codul MFA prin SMS sau prin apel telefonic;
• conturi pentru care SMS-ul sau apelul vocal este singura metodă MFA;
• niciun plan încă pentru passkeys, Windows Hello for Business sau alte metode rezistente la phishing.

Cine folosește deja o metodă rezistentă la phishing o poate folosi în continuare.

Dacă tot revizuiești autentificarea, verifică și alte setări Microsoft 365 configurate greșit.

Ce este o passkey și de ce renunță Microsoft la SMS?

O passkey înlocuiește parola sau codul primit prin SMS cu o cheie criptografică legată de dispozitiv sau de un furnizor de passkeys. Confirmi autentificarea cu PIN-ul, amprenta, fața sau un dispozitiv FIDO2. O pagină falsă de autentificare nu poate refolosi passkey-ul pentru alt site.

SMS-ul este mai bun decât o parolă fără al doilea factor, dar are slăbiciuni: codul poate fi introdus pe o pagină falsă, numărul de telefon poate fi atacat, iar livrarea depinde de semnal și de rețeaua de telefonie.

Codurile primite prin SMS pot fi obținute prin inginerie socială, la fel ca în atacurile cu suport IT fals pe Teams.

Notificarea din Microsoft Authenticator și o passkey păstrată în Microsoft Authenticator nu sunt același lucru.

Cum verifici cine mai folosește SMS sau apel vocal?

Nu schimba politicile înainte să vezi cine folosește metodele vechi. În Microsoft Entra admin center, mergi la Entra ID → Authentication methods → Activity. Raportul arată metodele înregistrate și folosite. Află pentru fiecare grup:

• cine are SMS sau apel vocal înregistrat;
• cine are deja Microsoft Authenticator, passkey sau Windows Hello;
• cine depinde doar de SMS sau apel vocal. Acesta este grupul cu cel mai mare risc în 2027.

Cum pregătește o firmă migrarea?

1. Identifică utilizatorii care depind de SMS sau apel vocal

   Separă-i de cei care au deja metode moderne.

2. Alege metoda pentru fiecare categorie

   Laptopuri Windows administrate: Windows Hello for Business. Utilizatori mobili: passkey pe telefon. Administratori și conturi sensibile: passkeys sau chei FIDO2. Cazurile speciale se analizează separat.

   Windows Hello are nevoie de cameră IR sau de cititor de amprentă, dotări frecvente pe laptopurile gândite pentru uz business.

3. Testează pe un grup mic

   Verifică Microsoft 365, Outlook, Teams, browserul, VPN-ul și aplicațiile interne înainte să extinzi.

4. Pregătește recuperarea conturilor

   Stabilește ce se întâmplă când un angajat pierde sau schimbă telefonul. Administratorul trebuie să poată elimina metoda veche și să permită înregistrarea uneia noi.

5. Extinde înainte de februarie 2027

   Nu lăsa migrarea pentru ultimele zile din ianuarie. Un pilot făcut devreme îți lasă timp pentru cazurile speciale.

   Autentificarea modernă este doar una dintre componentele unei infrastructuri IT fiabile pentru firme mici.

Te ajută și Registration Campaign, din Entra ID → Authentication methods → Registration campaign. Mută treptat utilizatorii către passkeys, fără să configurezi manual fiecare cont.

Mai pot firmele să folosească SMS după 1 februarie 2027?

Microsoft recomandă passkeys. Pentru firmele care au nevoie de SMS sau apel vocal din motive operaționale, contractuale sau de reglementare, Microsoft pregătește folosirea unor furnizori de telefonie administrați de client, prin Microsoft Security Store. Firma configurează și gestionează singură acel furnizor.

Întrebări frecvente

Passkeys costă suplimentar în Microsoft Entra?

Nu pentru funcția de bază. Passkeys FIDO2 sunt disponibile în toate edițiile Entra ID, inclusiv Free. Raportarea avansată sau Conditional Access pot depinde de licență.

Passkeys funcționează doar pe telefon?

Nu. Pot fi pe dispozitive compatibile, în Microsoft Authenticator, în Windows sau pe chei hardware FIDO2.

Trebuie să cumpăr chei FIDO2 pentru toți angajații?

Nu. Sunt doar una dintre opțiuni. Alegerea depinde de nivelul de securitate, de dispozitive și de felul în care lucrează oamenii.

Windows Hello este o metodă recomandată?

Da. Microsoft include Windows Hello for Business între metodele rezistente la phishing recomandate pentru organizații.