Microsoft pregătește una dintre cele mai importante schimbări din ultimii ani în ceea ce privește securitatea conturilor. Compania a anunțat că, începând cu 1 februarie 2027, serviciul său Microsoft Entra nu va mai accepta autentificarea în doi pași prin coduri trimise prin SMS sau prin apeluri telefonice.
În locul acestei metode, utilizatorii vor fi încurajați să folosească passkeys, o tehnologie de autentificare fără parolă, despre care Microsoft spune că oferă un nivel de protecție mult mai ridicat împotriva atacurilor informatice.
De ce renunță Microsoft la codurile prin SMS
Decizia vine pe fondul creșterii numărului de atacuri cibernetice și al dezvoltării instrumentelor bazate pe inteligență artificială, care permit infractorilor să creeze rapid site-uri false de autentificare și campanii de phishing tot mai convingătoare.
Potrivit Microsoft, codurile de verificare trimise prin SMS sau apel telefonic nu mai oferă aceeași protecție ca în trecut. Acestea pot fi compromise prin mai multe metode, inclusiv:
-atacuri de tip phishing; -interceptarea codurilor; -furtul datelor de autentificare; -fraude de tip SIM swapping, prin care un atacator reușește să transfere numărul de telefon al victimei pe o cartelă aflată sub controlul său.
În aceste situații, codul de verificare poate ajunge direct la atacator.
Cum funcționează passkeys
Noua metodă de autentificare elimină atât parola, cât și codurile temporare. Passkeys folosesc două chei criptografice. Cheia publică este stocată de serviciul online, iar cheia privată rămâne exclusiv pe dispozitivul utilizatorului și nu este transmisă niciodată către server.
Autentificarea poate fi confirmată prin amprentă, recunoaștere facială, codul de deblocare al dispozitivului sau o cheie fizică de securitate.
Pentru că nu există un cod care să poată fi introdus pe un site fals, această metodă este considerată mult mai rezistentă la atacurile de tip phishing.
Ce dispozitive și servicii vor fi compatibile
Microsoft Entra va accepta atât passkeys sincronizate între mai multe dispozitive, cât și variante stocate local.
Printre soluțiile compatibile se numără iCloud Keychain, Google Password Manager, Windows Hello for Business, aplicația Microsoft Authenticator și cheile hardware FIDO2.
Pentru organizațiile care gestionează informații sensibile, Microsoft recomandă utilizarea cheilor fizice de securitate, în timp ce pentru majoritatea angajaților pot fi suficiente passkeys sincronizate.
Când începe schimbarea
Tranziția va începe la 1 septembrie 2026. De la această dată, utilizatorii Microsoft Entra vor primi invitații să își configureze o passkey la următoarea autentificare care necesită verificarea în doi pași.
Pe 18 septembrie 2026, Microsoft va publica lista operatorilor telekom compatibili pentru organizațiile care, din motive legale sau operaționale, trebuie să continue autentificarea prin telefon.
Aceste organizații vor avea termen până la 30 octombrie 2026 pentru a configura un furnizor propriu prin Microsoft Security Store.
Începând cu 1 februarie 2027, serviciul de autentificare prin SMS și apeluri telefonice oferit direct de Microsoft va fi dezactivat definitiv, fără posibilitatea amânării măsurii.
Anunțul se referă la Microsoft Entra, platforma folosită de companii și organizații pentru administrarea identităților și accesului utilizatorilor.
Deocamdată, Microsoft nu a anunțat eliminarea autentificării prin SMS pentru toate conturile personale, însă decizia arată direcția în care se îndreaptă industria, potrivit specialiștilor: trecerea de la parole și coduri SMS la metode de autentificare bazate pe chei criptografice și identificare biometrică.
