Microsoft vai encerrar autenticação nativa por SMS e voz no Entra ID e recomenda migração para passkeys

A Microsoft vai desativar a authentication nativa por SMS e chamada de voz no Entra ID em 1º de fevereiro de 2027 para a maioria dos clientes. Para Global Administrators e usuários externos, o prazo é 1º de julho de 2027. A justificativa é direta: esses métodos não resistem a phishing. A empresa recomenda passkeys e sugere manter SMS e voz só para usuários com requisito de negócio, regulatório ou técnico.

Quem precisar manter telefonia poderá escolher um provedor de terceiros. A partir de 30 de outubro de 2026, o recurso Choose Your Own Telephony Provider (CYOT) fica disponível para todos, com a contratação feita pelo Microsoft Security Store e a relação comercial direta com o provedor. A compra exige uma assinatura de cobrança do Azure, um resource group e a função adequada na assinatura. Há ainda cobranças de infraestrutura Azure previstas, e a Microsoft orienta estimar custos antes da implantação. Depois da data de corte, quem usa apenas SMS ou voz como MFA terá de registrar uma passkey no login, num prompt bloqueante, a menos que a organização tenha um provedor de telefonia configurado. O aviso está no Message Center sob o ID MC1519855.

Em 15 de julho de 2026, o CEVIU noticiou "Microsoft Entra ID Adota Passkeys Como Padrão de Autenticação", com as passkeys virando método padrão a partir de 1º de setembro e usuários de SMS ou voz sendo solicitados a registrar uma passkey. Em 23 de setembro de 2026, a matéria "Microsoft Acelera Transição para Autenticação Sem Senha no Entra ID" mostrou a Microsoft incentivando administradores a migrar usuários para passkeys e chaves FIDO2. O anúncio atual acrescenta o que faltava: datas de aposentadoria (1º de fevereiro e 1º de julho de 2027) e a saída para quem não pode abandonar a telefonia, o provedor terceiro via Security Store.

Para quem opera identidade em TI corporativa, a leitura é que o SMS deixa de ser o padrão gratuito embutido e passa a ser exceção, com custo e contrato próprios. Isso pede inventário de quem realmente depende de telefonia, revisão de compras, privacidade e compliance, e plano de adoção de passkeys por população de usuários, respeitando o prazo de cada grupo.