Administradores de workforce tenants do Microsoft Entra ID precisam migrar usuários de SMS e voz para métodos resistentes a phishing antes de 1º de fevereiro de 2027. A Microsoft voltou a pedir essa troca para evitar interrupção de login quando aposentar a autenticação por SMS e voz que ela própria fornece. A recomendação central é adotar passkeys.
O cronograma vale apenas para autenticação de tenants de força de trabalho do Entra ID. Não alcança o Azure AD B2C nem cenários de identidade de cliente do Microsoft Entra External ID.
O que deixa de ser capacidade nativa
No Microsoft 365 Message Center, a Microsoft informou que a autenticação por SMS e voz fornecida por ela será aposentada a partir de 1º de fevereiro de 2027. A orientação é concluir a migração antes do início da implantação, para não interromper a experiência de entrada.
Após essa data, a empresa deixa de oferecer a entrega de SMS e voz por telecom próprio e deixa de tratar esses métodos como capacidade nativa do Microsoft Entra. Usuários que ainda dependerem do canal não conseguirão usá-lo para concluir a autenticação multifator nem para entrar nas contas.
Quem precisar manter autenticação por telefone terá de configurar um provedor de telecom gerenciado pelo cliente, no modelo CYOT, pela Microsoft Security Store. Sem essa configuração, permanecer no SMS ou na voz nativos não é um plano sustentado pelo comunicado.
O que este prazo não cobre
Azure AD B2C e Microsoft Entra External ID, em cenários de identidade de cliente, ficam fora deste processo. O aviso delimita o escopo desta aposentadoria; não autoriza concluir que esses produtos estejam livres de outras mudanças de autenticação.
Há uma medida anterior que não deve ser confundida com o prazo de 2027. Em agosto, a Microsoft aposentou o SMS como primeiro fator de login em tenants Microsoft Entra ID Free, por riscos de phishing, fraude e comprometimento de conta, e parou de habilitar esse recurso em tenants novos. É uma restrição já aplicada ao primeiro fator em tenants Free, não a retirada geral do SMS e da voz nativos como método de MFA.
Passkeys e os outros métodos suportados
A Microsoft classifica SMS e voz como vulneráveis a phishing e a ataques de troca de chip, os SIM swap. Por isso recomenda passkeys, descritas como proteção mais forte e resistente a phishing. O mesmo comunicado admite migrar para outro método suportado ou reter SMS e voz por meio de provedor gerenciado pelo cliente.
As alternativas citadas incluem passkeys, autenticação por código QR, chaves de segurança FIDO2 e outros métodos de entrada suportados pelo Entra ID. Não há, nesse aviso, uma hierarquia obrigatória entre QR e FIDO2. O método destacado como recomendação é a passkey.
Em julho, a Microsoft anunciou que as passkeys começariam a ser implantadas como experiência padrão de autenticação do Entra ID empresarial a partir de setembro. Quando a implantação alcança cada organização, usuários habilitados para SMS ou voz são habilitados automaticamente para passkeys. No MFA seguinte, o serviço solicita o registro de uma passkey. Depois dessa transição, em 1º de fevereiro de 2027, a entrega por telecom da Microsoft é retirada.
Esse anúncio não equivale a afirmar que toda organização já opera com passkey como padrão. O comportamento descrito depende da chegada da implantação a cada tenant. O comunicado atual também não informa quantos usuários ainda autenticam por telefone.
Quem sente o impacto
O efeito direto atinge usuários de workforce tenants que ainda concluem MFA ou login com SMS ou voz fornecidos pela Microsoft. Sem método substituto, a aposentadoria impede a entrada. Serviços que exigem autenticação no Entra ID acompanham essa falha: o problema não fica limitado a um único portal se o fator exigido deixar de funcionar.
Em lembrete publicado em setembro, a Microsoft indicou que administradores com as funções Authentication Policy Administrator, Global Reader ou Security Reader podem localizar esses usuários com o script PowerShell Entra SMS/Voice Policy Scanner. O aviso não traz parâmetros do script. A execução precisa seguir a documentação oficial do ambiente, porque comando e escopo variam por produto e versão.
Organizações obrigadas a permanecer no telefone só mantêm esse caminho se configurarem provedores de telecom de terceiros na Microsoft Security Store. As demais, se não migrarem, ficam sujeitas à interrupção de login descrita pela Microsoft.
Como se preparar sem interromper o acesso
O passo sustentado pelo comunicado é inventariar dependências e concluir a troca antes do rollout, não na data de retirada. Alterar o método de autenticação em produção pode bloquear acesso se dispositivo, chave ou fluxo de registro não estiver pronto. Vale validar um grupo piloto e confirmar que o MFA é concluído sem SMS ou voz antes de ampliar a política. Este aviso não descreve um procedimento único de rollback.
- Localizar usuários de SMS ou voz com o Entra SMS/Voice Policy Scanner, usando Authentication Policy Administrator, Global Reader ou Security Reader.
- Migrar para passkey, recomendação da Microsoft, ou para código QR, chave FIDO2 ou outro método suportado pelo Entra ID.
- Considerar que, ao alcançar a organização, a implantação habilita passkey para quem usa SMS ou voz e pede o registro no próximo MFA.
- Configurar CYOT na Microsoft Security Store somente se a autenticação por telefone precisar continuar após a retirada do serviço nativo.
- Restringir este plano a workforce tenants. Não aplicar o cronograma de 2027 ao Azure AD B2C nem ao Entra External ID de clientes com base neste aviso.
- Não misturar o plano com a aposentadoria do SMS como primeiro fator em tenants Entra ID Free, já comunicada em relação a agosto.
A documentação da Microsoft sobre autenticação sem senha resistente a phishing no Entra ID cobre implantação e gerenciamento de cada método. Este lembrete não substitui essa orientação e não define comandos universais.
O que o prazo exige na prática
A partir de 1º de fevereiro de 2027, SMS e voz deixam de ser capacidade nativa fornecida pela Microsoft na autenticação de workforce tenants do Entra ID. O aviso não informa volume de usuários, licenças nem um percentual de exposição. Cada tenant precisa medir a própria base.
Tratar o ambiente como migrado sem esse inventário é especulação. O caminho descrito pela Microsoft é identificar quem ainda usa SMS ou voz, mover as contas para passkey ou outro método suportado e, se o telefone for indispensável, formalizar um provedor de telecom próprio. Concluir a troca antes do rollout é o que reduz a chance de o próximo MFA virar falha de acesso.
Referências
- Microsoft reminds Entra ID admins to migrate users to passkeys, BleepingComputer, a partir de atualização publicada no Microsoft 365 Message Center.
About The Author
