Microsoft спира възможността за влизане с SMS като първи фактор за корпоративните организации (tenants) в Microsoft Entra ID в световен мащаб и изисква от тях да мигрират засегнатите потребители преди 1 февруари 2027 г.

Тази промяна, насочена към повишаване на сигурността, ще попречи на служителите да използват регистриран телефонен номер и еднократен SMS код като основен метод за влизане, което потенциално може да наруши работата с Microsoft 365 и други защитени от Entra услуги, ако администраторите не се подготвят предварително.

Автентификацията с SMS като първи фактор, вътрешно идентифицирана като SignInNoPassword, позволява на потребителя да въведе регистриран телефонен номер вместо потребителско име и парола. След това Microsoft Entra ID изпраща шестцифрен SMS код, с който се завършва автентификацията.

Въпреки че първоначалната цел на Microsoft бе да улесни достъпа за работниците на първа линия (frontline workers), сега компанията съветва организациите да прехвърлят тези потребители към съвременна и устойчива на фишинг автентификация.

Microsoft Entra ID SMS влизане

Според официалното съобщение от Microsoft, считано от 1 февруари 2027 г., Entra ID ще блокира опитите за автентификация с телефонен номер и еднократен SMS код като първичен фактор.

Съществуващите конфигурации, активиращи SMS за влизане, вече няма да се зачитат, а свързаните с това контроли за управление и настройка ще изчезнат от администраторските панели на Microsoft.

Преустановяването се отнася за организации в цял свят и в US Government Community Cloud. То е ограничено само до корпоративната автентификация в Microsoft Entra ID и не обхваща клиентските сценарии в Azure AD B2C или Microsoft Entra External ID.

Потребителите с друг регистриран и разрешен метод за автентификация ще могат да влизат без проблем, но акаунтите, които разчитат изключително на SMS като първи фактор, ще се сблъскат с прекъсване на достъпа.

Microsoft насочва клиентите далеч от телефонната автентификация, тъй като SMS кодовете остават уязвими към фишинг, социално инженерство, пренасочване на SIM карти (SIM-swapping), пренасочване на номера и прихващане на телекомуникации.

Атакуващ, който управлява убедителна фишинг страница, може да прихване SMS код и незабавно да го използва повторно, което прави този метод значително по-малко надежден от криптографските идентификационни данни, обвързани с легитимния уебсайт.

Паролите без парола (passkeys) адресират тази слабост чрез FIDO стандарти и криптография с публичен ключ, обвързана с произхода (origin-bound). Частният ключ остава в устройството на потребителя, докато операцията по автентификация е ограничена само до услугата, за която е регистриран съответният passkey.

Този дизайн прави passkeys устойчиви на конвенционален фишинг на идентификационни данни и пречи на киберпрестъпниците просто да възпроизвеждат прихванати тайни за автентификация.

По-рано Microsoft преустанови SMS като опция за първи фактор за безплатните организации (Entra ID Free) и спря да го активира за новосъздадени такива. Крайният срок през февруари разширява тази стратегия върху всички съществуващи корпоративни среди, продължавайки по-широкия преход на компанията към автентификация без пароли и устойчива на фишинг.

Всяка организация, която позволява на служителите си да използват SMS като основен метод за влизане, трябва да разглежда крайния срок като проект за миграция на идентичността, а не като rutinna промяна в политиките.

След като прилагането започне, регистрацията на телефонен номер вече няма да осигурява алтернативен път за влизане в акаунт, а политиките за conditional access или оперативните процедури, изградени около влизането с SMS, могат да доведат до неочаквани резултати.

Промяната ще засегне и организациите, които използват Choose Your Own Telephony Provider. Външните доставчици могат да продължат да доставят SMS или гласови предизвикателства за поддържаните сценарии за многофакторна автентификация, но няма да запазят SMS като опция за влизане като първи фактор.

Microsoft препоръчва запазването на телефонната автентификация само в случаите, когато документирано бизнес, техническо или нормативно изискване възпрепятства приемането на устойчиви на фишинг методи.

Администраторите трябва първо да идентифицират потребителите, за които в момента е активирано влизането с SMS, и да определят дали притежават друг регистриран метод. Дневниците за влизане (sign-in logs), отчетите за методи за автентификация, назначенията на политики и групите за работници на първа линия могат да помогнат за идентифицирането на рисковите акаунти.

Обърнете специално внимание на средите със споделени устройства, потребителите без корпоративни смартфони и процесите за възстановяване на достъпа, които все още зависят от телефонни номера.

След това засегнатите потребители трябва да регистрират passkeys, Windows Hello for Business или FIDO2 ключове за сигурност. Microsoft също така посочва QR код автентификацията като алтернатива за сценарии с работници на първа линия и споделени устройства; Entra представя този метод като комбинация от QR код и PIN код, управлявана за потребителя.

Организациите трябва да пилотират всяка опция спрямо своя парк от устройства, изисквания към браузърите и нива на сигурност в Conditional Access преди масово внедряване.

Администраторите трябва също така да актуализират инструкциите за регистрация, процедурите на центъра за помощ (help-desk), плановете за извънреден достъп (break-glass) и комуникациите с потребителите. Поетапната миграция с наблюдавани кампании за регистрация ще намали натоварването на поддръжката в последния момент и ще разкрие проблеми със съвместимостта на приложенията преди влизането в сила.

Следователно 1 февруари 2027 г. е твърд оперативен краен срок. Организациите, които инвентаризират зависимите от SMS акаунти сега, внедрят подходящи устойчиви на фишинг идентификационни данни и премахнат зависимостите от първичния SMS фактор, могат да избегнат блокиране на достъпа, като същевременно значително укрепят сигурността си в Microsoft Entra ID.