Microsoft ha vuelto a pedir a los administradores de Entra ID que trasladen a sus usuarios hacia métodos de autenticación resistentes al phishing, con la finalidad de evitar problemas de acceso antes de que la compañía elimine la autenticación mediante SMS y voz en febrero de 2027.
Este proceso de retirada se aplica únicamente a los escenarios de autenticación de inquilinos de personal de Microsoft Entra ID, y no a los escenarios de identidad de cliente de Azure AD B2C ni de Microsoft Entra External ID.
Antes de que Microsoft retire la autenticación por SMS y voz, los administradores deben asegurarse de que todos los usuarios de sus organizaciones utilicen un método resistente al phishing, ya que dejarán de poder emplear SMS y voz para completar la autenticación multifactor y acceder a sus cuentas. Entre las opciones disponibles figuran passkeys, la autenticación mediante código QR, las llaves de seguridad FIDO2 y otros métodos de inicio de sesión compatibles con Entra ID.
La autenticación por SMS y voz proporcionada por Microsoft se retirará a partir del 1 de febrero de 2027. Complete su migración antes de que comience el despliegue para evitar interrumpir la experiencia de inicio de sesión de los usuarios. SMS y voz son vulnerables al phishing y a los ataques de intercambio de SIM. Microsoft recomienda passkeys para una protección más sólida y resistente al phishing. También puede migrar a otro método de autenticación compatible o conservar SMS y voz configurando un proveedor de telecomunicaciones gestionado por el cliente (CYOT) a través de Microsoft Security Store.
Como Microsoft señaló en un recordatorio anterior publicado en septiembre, los administradores con los roles de Authentication Policy Administrator, Global Reader o Security Reader pueden localizar a los usuarios que emplean autenticación por SMS o voz con el script de PowerShell Entra SMS/Voice Policy Scanner. Las organizaciones que necesiten mantener la autenticación basada en teléfono tendrán que configurar proveedores de telecomunicaciones externos a través de Microsoft Security Store.
Passkeys, el método de autenticación predeterminado de Entra ID
En julio, Microsoft anunció que las passkeys comenzarían a desplegarse como experiencia de autenticación predeterminada del servicio de identidad empresarial Entra ID a partir de septiembre.
A medida que el despliegue llegue a cada organización, los usuarios habilitados para la autenticación por SMS o voz quedarán habilitados automáticamente para passkeys y, la próxima vez que realicen la autenticación multifactor, se les pedirá que registren una passkey. Tras esta transición, el 1 de febrero de 2027 Microsoft retirará la entrega de telecomunicaciones proporcionada por Microsoft para la autenticación por SMS y voz y dejará de ofrecer SMS y voz como capacidad nativa de Microsoft Entra.
Microsoft también retiró en agosto el inicio de sesión con SMS como primer factor para los inquilinos gratuitos de Microsoft Entra ID, debido a los riesgos de phishing, fraude y compromiso de cuentas, y dejó de habilitarlo para los inquilinos de nueva creación. La guía detallada sobre el despliegue y la gestión de la autenticación sin contraseña resistente al phishing en Entra ID está disponible en una página de documentación específica de Microsoft.
Con credenciales válidas, solo se bloquea el 37 % de las acciones de los atacantes
Las puntuaciones globales de prevención pueden ocultar lo que ocurre después del acceso inicial. Cuando los atacantes utilizan credenciales válidas, la prevención cae de forma drástica. El Blue Report 2026 mide las defensas técnica por técnica en 338 millones de simulaciones ejecutadas en entornos de producción de clientes.
Deja una respuesta