Microsoft начнёт отключать встроенную доставку кодов по SMS и голосовым звонкам в Microsoft Entra ID с 1 февраля 2027 года. Для компаний это означает, что переход на passkeys и другие устойчивые к фишингу методы входа нужно планировать заранее: иначе часть сотрудников может обнаружить проблему в момент очередной MFA-проверки.
Компания вновь напомнила администраторам Entra ID о дедлайне, сообщает BleepingComputer. Изменение касается рабочих tenants в Entra ID, то есть корпоративных учётных записей сотрудников. Сценарии Azure AD B2C и Microsoft Entra External ID, предназначенные для клиентских идентификаций, под это отключение не подпадают.
После начала миграции Microsoft перестанет предоставлять SMS и голосовые вызовы как нативный способ подтверждения входа. Пользователь, который привык получать одноразовый код на телефон, не сможет завершить многофакторную аутентификацию привычным способом, если организация не подготовит альтернативу. Формально времени больше трёх месяцев, но для крупной компании это не тот срок, когда стоит откладывать инвентаризацию на следующий квартал.
Microsoft рекомендует passkeys как основной вариант, устойчивый к фишингу. В числе поддерживаемых альтернатив остаются QR-аутентификация, аппаратные ключи FIDO2 и другие методы, доступные в Entra ID. Компания также оставляет узкий путь для организаций, которым телефонная аутентификация действительно необходима: можно подключить собственного телеком-провайдера через Microsoft Security Store. В таком случае доставка SMS или голосовых сообщений перестаёт быть сервисом Microsoft и становится отдельной зоной ответственности заказчика.
Причина отказа от привычных кодов хорошо известна службам безопасности. SMS можно перехватить через SIM-swap, выманить на фишинговой странице или использовать как часть схемы социальной инженерии против оператора связи. Одноразовый код создаёт ощущение второго фактора, но не проверяет, куда именно пользователь его вводит. Passkey привязан к конкретному сайту или приложению и подтверждается устройством пользователя, поэтому копия корпоративной страницы входа уже не даёт злоумышленнику тот же простой сценарий кражи доступа.
Переход Microsoft не возник внезапно. В июле компания сообщила, что с сентября начнёт разворачивать passkeys как стандартный опыт аутентификации в Entra ID. Когда обновление дойдёт до конкретного tenant, пользователи с включёнными SMS или голосовой проверкой будут автоматически допущены к регистрации passkey. При следующем прохождении MFA им предложат создать ключ доступа. Это удобнее, чем массово собирать сотрудников на инструктаж, но автоматическое приглашение ещё не равно завершённой миграции: пользователь может закрыть окно, сменить устройство или остаться без резервного сценария входа.
Ещё один сигнал Microsoft подала в августе, когда отключила вход по SMS в качестве первого фактора для бесплатных tenants Entra ID и перестала включать его в новых tenants. Логика последовательна: сначала ограничить наиболее рискованный сценарий, затем убрать SMS и голосовые вызовы из корпоративной MFA. Для ИТ-директора это не просто замена одного способа доставки кода другим, а ревизия всей цепочки восстановления доступа — от утерянного телефона до увольнения сотрудника с зарегистрированным личным устройством.
Практическая задача для администраторов — найти людей, которые всё ещё зависят от телефона. Microsoft указывает, что пользователи с SMS- или голосовой аутентификацией выявляются скриптом Entra SMS/Voice Policy Scanner для PowerShell; доступ к такой проверке есть у ролей Authentication Policy Administrator, Global Reader и Security Reader. После инвентаризации стоит разделить пользователей хотя бы на три группы: готовых зарегистрировать passkey на рабочем устройстве, сотрудников с аппаратными ключами FIDO2 и исключения, которым потребуется иной согласованный метод. Отдельно придётся проверить сервисные процессы: helpdesk, break-glass-учётные записи, подрядчиков, сотрудников без постоянного корпоративного ноутбука и регламенты восстановления доступа.
Для разработчиков и продуктовых команд новость важна ещё и как ориентир для внутренних приложений. Если корпоративный SSO завязан на Entra ID, интерфейсы и инструкции не должны продолжать обещать «код в SMS» как универсальный путь. Командам безопасности полезно заранее прогнать пилот на небольшой группе, измерить долю успешных регистраций и нагрузку на поддержку, а затем масштабировать переход на passkeys. Самый неприятный вариант здесь банален: технически включить новый метод, но не объяснить людям, что делать при смене смартфона.
К февралю 2027 года passkeys в корпоративной идентификации перестанут быть экспериментом для энтузиастов и станут обычной операционной гигиеной. Вопрос для компаний теперь не в том, поддерживают ли они парольless-вход, а в том, успеют ли они провести переход на passkeys без очереди заявок в helpdesk и экстренных исключений в день отключения SMS.
