Microsoft отново призова администраторите на Entra ID да прехвърлят потребителите към защитени от фишинг методи за автентикация, за да избегнат прекъсвания при вписване, преди спирането на удостоверяването чрез SMS и гласови обаждания през февруари 2027 г.

Този процес по спиране на услугата важи единствено за сценариите за удостоверяване на корпоративни клиенти (workforce tenants) в Microsoft Entra ID, но не и за Azure AD B2C или потребителски сценарии за външна самоличност в Microsoft Entra External ID.

Преди Microsoft да прекрати поддръжката на автентикацията чрез SMS и гласови обаждания, администраторите трябва да се уверят, че всички потребители в техните организации използват защитен от фишинг метод, тъй като вече няма да могат да използват тези канали за завършване на многофакторно удостоверяване и влизане в профилите си.

Администраторите могат да избират между ключове за достъп (passkeys), автентикация чрез QR код, хардуерни FIDO2 ключове за сигурност и други поддържани от Entra ID методи за вход.

„Предоставяното от Microsoft удостоверяване чрез SMS и гласово обаждане ще бъде прекратено от 1 февруари 2027 г. Завършете миграцията си преди началото на внедряването, за да избегнете нарушаване на процеса по вписване на потребителите“, посочи Microsoft в актуализация в Microsoft 365 Message Center във вторник.

„SMS съобщенията и гласовите обаждания са уязвими към фишинг и атаки тип SIM-swap. Microsoft препоръчва използването на ключове за достъп (passkeys) за по-силна и защитена от фишинг защита. Можете също така да преминете към друг поддържан метод за удостоверяване или да запазите SMS и гласовите повиквания, като конфигурирате телекомуникационен доставчик, управляван от клиента (CYOT), през Microsoft Security Store.“

Както Microsoft отбеляза в предходно напомняне през септември, администраторите с роли Authentication Policy Administrator, Global Reader или Security Reader могат да открият потребителите, използващи SMS или гласова автентикация, чрез скрипта на PowerShell Entra SMS/Voice Policy Scanner.

Организациите, за които използването на телефонно удостоверяване е задължително, ще трябва да конфигурират външни телекомуникационни доставчици чрез Microsoft Security Store.

Ключовете за достъп (passkeys) вече са методът по подразбиране в Entra ID

През юли Microsoft обяви, че ключовете за достъп (passkeys) ще започнат да се налагат като стандартен начин за удостоверяване за корпоративната услуга за управление на идентичността Entra ID, считано от септември.

„С разпространението на актуализацията до всяка организация, потребителите с активирано SMS или гласово удостоверяване автоматично ще получат възможност за използване на passkeys, а при следващото извършване на многофакторна автентикация ще бъдат подканени да регистрират такъв ключ за достъп“, заяви Microsoft.

„След този преход, на 1 февруари 2027 г., Microsoft ще прекрати предоставяната от компанията телекомуникационна доставка за автентикация чрез SMS и гласови повиквания и вече няма да предлага SMS и глас като вградена възможност в Microsoft Entra.“

През август Microsoft премахна и влизането чрез SMS като първи фактор за безплатните абонаменти Microsoft Entra ID Free поради рискове от фишинг, измами и компрометиране на акаунти, като същевременно спря активирането му за новосъздадени абонати.

Подробни насоки за внедряване и управление на безпаролно удостоверяване със защита от фишинг в Entra ID са налични на специализираната страница с документация на Microsoft.

След като атакуващите получат валидни идентификационни данни, се блокират едва 37% от действията им

Общите показатели за превенция могат да прикрият какво се случва след първоначалния достъп. Когато атакуващите започнат да използват валидни идентификационни данни, нивото на превенция спада рязко.

Докладът The Blue Report 2026 измерва защитните механизми техника по техника чрез 338 милиона симулации, проведени в реални производствени среди на клиенти.