Il 28 ottobre 2026, BleepingComputer ha riferito che Microsoft ha esortato gli amministratori di Entra ID a migrare gli utenti verso metodi di autenticazione resistenti al phishing, in vista del prossimo ritiro dell'autenticazione tramite SMS e voce previsto per il 1 febbraio 2027.
Nell'articolo, scritto da Sergiu Gatlan, Microsoft ha annunciato che cesserà l'autenticazione tramite SMS e voce per gli scenari di autenticazione dei tenant workforce di Microsoft Entra ID, ma non per Azure AD B2C o Microsoft Entra External ID. Gli amministratori sono stati invitati a informare gli utenti e a migrare verso metodi più sicuri, come passkeys, autenticazione tramite codice QR, chiavi di sicurezza FIDO2 e altri metodi supportati da Entra ID, prima della scadenza.
Nel documento, un avviso di Microsoft afferma: "Microsoft-provided SMS and voice authentication will retire starting February 1, 2027. Complete your migration before rollout begins to avoid interrupting users' sign-in experience." L'SMS e la voce sono metodi vulnerabili al phishing e agli attacchi SIM-swap, e Microsoft spinge per l'utilizzo delle passkeys, che offrono una protezione più forte e resistente al phishing. Gli amministratori con i ruoli di Authentication Policy Administrator, Global Reader o Security Reader possono utilizzare lo script PowerShell Entra SMS/Voice Policy Scanner per identificare gli utenti che utilizzano ancora l'autenticazione SMS o voce.
Le organizzazioni che necessitano ancora di metodi di autenticazione basati sul telefono devono configurare fornitori di telecomunicazioni di terze parti attraverso il Microsoft Security Store. A settembre 2026, Microsoft ha reso le passkeys il metodo di autenticazione predefinito per Entra ID. Come affermato da Microsoft, "As the rollout reaches each organization, users enabled for SMS or voice authentication will automatically be enabled for passkeys, and the next time they perform multifactor authentication, they'll be prompted to register a passkey."
Microsoft aveva già ritirato l'autenticazione tramite SMS come primo fattore di accesso per i tenant Microsoft Entra ID Free ad agosto 2026, a causa dei rischi di phishing, frode e compromissione degli account. La guida dettagliata su come gestire l'autenticazione passwordless resistente al phishing è disponibile nella documentazione Microsoft dedicata.
Il report Blue Report 2026 ha evidenziato che solo il 37% delle azioni degli attaccanti viene bloccato una volta che hanno accesso a credenziali valide, sottolineando l'importanza di adottare metodi di autenticazione più sicuri per ridurre i rischi di compromissione degli account.