Microsoft alerta administradores do Entra ID para migrar usuários para passkeys

A Microsoft reforçou, em aviso no Message Center do Microsoft 365, que a autenticação por SMS e voz fornecida por ela deixa de existir no Entra ID a partir de 1º de fevereiro de 2027. A regra vale só para cenários de força de trabalho (workforce tenants). Azure AD B2C e Microsoft Entra External ID, voltados a identidade de clientes, ficam fora.

A empresa justifica a decisão dizendo que SMS e voz são vulneráveis a phishing e a SIM-swap. As saídas são passkeys, autenticação por QR code, chaves FIDO2 ou outro método suportado. Quem precisa manter telefone como fator pode configurar um provedor de telecom próprio (CYOT) pela Microsoft Security Store. Para levantar quem ainda depende de SMS ou voz, administradores com os papéis Authentication Policy Administrator, Global Reader ou Security Reader podem rodar o script PowerShell Entra SMS/Voice Policy Scanner. Em agosto, a Microsoft também já tinha desativado o login por SMS como primeiro fator em tenants Entra ID Free.

Em 15 de julho de 2026, o CEVIU noticiou "Microsoft Entra ID Adota Passkeys Como Padrão de Autenticação", com as passkeys virando padrão a partir de 1º de setembro. Em 23 de setembro de 2026, em "Microsoft Acelera Transição para Autenticação Sem Senha no Entra ID", a cobertura registrou o incentivo à migração para passkeys e chaves FIDO2. Em 23 de outubro de 2026, o CEVIU publicou que o encerramento do SMS e voz nativos seria em 1º de fevereiro de 2027, com prazo estendido até 1º de julho de 2027 para Global Administrators e usuários externos. O aviso desta semana não muda a data, apenas a reforça perto do prazo.

Para quem opera identidade em TI corporativa, o recado é de calendário: restam poucos meses para inventariar usuários presos a SMS e voz, definir o método substituto e comunicar a mudança. Quem tiver casos que exigem telefone (áreas sem smartphone, por exemplo) precisa decidir cedo entre o CYOT, com custo e contrato extras com uma operadora, e outro método. A leitura do CEVIU é que deixar para janeiro tende a gerar chamados de suporte e bloqueios de acesso.