Microsoft urge a los administradores de Entra ID a migrar a passkeys antes de retirar el inicio de sesión por SMS en 2027

Microsoft ha recordado a los administradores de Entra ID que deben migrar a los usuarios hacia métodos de autenticación resistentes al phishing, como las passkeys, antes de que la compañía retire el inicio de sesión por SMS como primer factor a partir de febrero de 2027. La compañía ofrece alternativas ya soportadas por Entra ID, entre ellas la autenticación por código QR y las llaves de seguridad FIDO2, además de otros métodos compatibles con el servicio.

Según ha explicado Microsoft en una actualización publicada en el Centro de mensajes de Microsoft 365, la retirada afectará incluso a las organizaciones que utilicen la opción "Choose Your Own Telephony Provider" para mantener el SMS o la voz como método de autenticación multifactor. "La retirada del inicio de sesión por SMS como método de autenticación de primer factor se aplica incluso cuando se usa Choose Your Own Telephony Provider para seguir utilizando SMS o voz como método de autenticación multifactor", señaló la compañía, instando a las organizaciones que aún dependen del SMS como primer factor a migrar a sus usuarios según cada escenario.

Este movimiento no es nuevo: Microsoft ya retiró el inicio de sesión por SMS como primer factor para los tenants gratuitos de Microsoft Entra ID en agosto, citando riesgos de phishing, fraude y compromiso de cuentas, y desde entonces tampoco habilita esta opción para los tenants de nueva creación. Cabe precisar que el proceso de retirada se limita a los escenarios de autenticación de tenants "workforce" de Microsoft Entra ID, sin afectar a Azure AD B2C ni a los escenarios de identidad de clientes de Microsoft Entra External ID. La compañía ha publicado además una guía detallada sobre el despliegue y la gestión de la autenticación passwordless resistente al phishing en Entra ID en su documentación oficial.

Este anuncio se enmarca en un cambio más amplio: en julio, Microsoft ya había comunicado que las passkeys pasarían a ser el método de autenticación predeterminado en Entra ID, con un despliegue que arranca este mismo mes. "A medida que el despliegue llegue a cada organización, los usuarios habilitados para autenticación por SMS o voz se habilitarán automáticamente para passkeys, y la próxima vez que realicen la autenticación multifactor, se les pedirá que registren una passkey", indicó la compañía. Tras esta transición, el 1 de febrero de 2027 Microsoft retirará la entrega de telecomunicaciones que proporciona directamente para la autenticación por SMS y voz, y dejará de ofrecer estas opciones como capacidad nativa de Microsoft Entra.

Para facilitar la transición, Microsoft recuerda que los administradores con roles de Global Reader, Authentication Policy Administrator o Security Reader pueden identificar a los usuarios que todavía dependen de SMS o voz ejecutando el script de PowerShell Entra SMS/Voice Policy Scanner. Aquellas organizaciones que por necesidad operativa deban seguir utilizando autenticación basada en teléfono tendrán que configurar proveedores de telecomunicaciones de terceros a través de Microsoft Security Store.

En conjunto, la noticia confirma la estrategia de Microsoft de abandonar progresivamente los factores de autenticación basados en SMS y voz —ampliamente considerados vulnerables frente a ataques de phishing, SIM swapping e interceptación— en favor de estándares más robustos como las passkeys y FIDO2. Para los equipos de TI que administran entornos Entra ID, el mensaje es claro: cuentan con un plazo definido, hasta febrero de 2027, para completar la migración de sus usuarios antes de que el SMS deje de funcionar como método nativo de inicio de sesión.