Microsoft Entra ID Adota Passkeys como Padrão de Autenticação, Impactando Segurança Corporativa

A decisão da Microsoft de elevar as passkeys ao status de método padrão de autenticação no Entra ID representa um passo significativo na proteção de identidades digitais. Essa mudança aborda uma vulnerabilidade crítica: a suscetibilidade dos métodos de autenticação multifator (MFA) baseados em SMS e chamadas de voz a ataques de phishing. Cibercriminosos usam táticas sofisticadas, como ataques Adversary-in-the-Middle (AiTM), para contornar esses métodos, roubando credenciais e tokens de sessão. O CEVIU noticiou em 6 de março de 2026, por exemplo, a desativação da plataforma Tycoon 2FA, que permitia ataques AiTM e burlava a MFA tradicional.

As passkeys, baseadas no padrão FIDO2, oferecem proteção superior contra phishing. Elas usam criptografia de chave pública, onde a credencial do usuário é ligada a um dispositivo específico e ao serviço que a gerou. Isso impede que um atacante que intercepte uma passkey a utilize em um site falso. Soluções como Windows Hello for Business e chaves de segurança FIDO2 já são exemplos de métodos resistentes a phishing que continuarão sendo suportados, garantindo que as empresas tenham opções robustas para a proteção de seus ativos mais valiosos.

A cobertura anterior do CEVIU, em 15 de julho de 2026, já indicava a intenção da Microsoft de tornar as passkeys o padrão no Entra ID. A notícia atual detalha a execução dessa estratégia: a partir de setembro, usuários que ainda dependem de SMS ou voz para MFA serão automaticamente habilitados para passkeys e convidados a registrá-las. A Microsoft formaliza também a descontinuação dos serviços de telecomunicações para SMS e voz como MFA nativa no Entra ID, com um prazo final em fevereiro de 2027. Antes, a informação era de uma transição iminente; agora, temos prazos claros e um cronograma de migração definido.

Para as empresas, esta é uma medida de segurança preventiva crucial. Ataques de phishing e roubo de credenciais continuam sendo as portas de entrada mais comuns para invasões. Ao padronizar o uso de passkeys, a Microsoft fortalece a primeira linha de defesa contra esses ataques, reduzindo o risco de violações de dados e acessos não autorizados. Organizações precisam agora revisar suas políticas de segurança, planejar a transição de seus usuários e garantir que todos estejam usando um método de autenticação resistente a phishing antes do prazo de fevereiro de 2027.

A transição também simplifica a experiência do usuário, eliminando a necessidade de senhas complexas e reduzindo a frustração com códigos de SMS que podem falhar ou ser interceptados. Este movimento consolida o caminho para um futuro sem senhas, mais seguro e eficiente para todos. Administradores têm acesso a scripts PowerShell e documentação detalhada para identificar e gerenciar usuários, garantindo uma migração suave e segura.