A Microsoft começará a desativar a autenticação por SMS (serviço de mensagens curtas) e por voz fornecida pela própria empresa no Microsoft Entra ID em 1º de fevereiro de 2027. Por isso, as organizações afetadas precisarão migrar os usuários ou contratar outra operadora para o envio das mensagens antes do início da aplicação da medida.
A mudança abrange os ambientes Worldwide e Government Community Cloud (GCC, nuvem para comunidades governamentais). A implantação deve ser concluída no início de fevereiro. Os administradores devem tratar 1º de fevereiro como o prazo final para a migração, em vez de aguardar a transição de cada tenant (ambiente individual de cada cliente).
O lembrete de 27 de outubro, publicado como notificação do Message Center de número MC1528000, segue os anúncios feitos em julho de 2026.
A Microsoft aponta os ataques de phishing (golpes para roubo de credenciais) e de troca de chip SIM (SIM swap, em que criminosos assumem o número da vítima) como os principais motivos para deixar a autenticação baseada em telefone. A empresa recomenda as chaves de acesso (passkeys) como substitutas mais robustas e resistentes a phishing. No entanto, a desativação se refere ao serviço de envio da própria Microsoft, e não a todas as implementações de autenticação por SMS ou voz dentro do Entra ID.
Microsoft Entra ID: desativação da autenticação por SMS e voz
Os usuários que já têm outro método de login registrado continuarão autenticando por meio desse método, sem serem obrigados a cadastrar uma chave de acesso.
A situação é diferente para contas cujo único método registrado é SMS ou voz. Nesses casos, a Microsoft permitirá uma última verificação de identidade por telefone. Depois disso, o usuário terá de cadastrar uma chave de acesso para continuar entrando. Essa distinção torna especialmente importante identificar as contas com método único antes do prazo.
A transição se apoia na migração para chaves de acesso no Entra ID, anunciada anteriormente pela Microsoft. Diferentemente dos códigos por SMS, as chaves de acesso usam criptografia de chave pública e vinculam a autenticação ao serviço legítimo.
Durante a autenticação, um autenticador assina um desafio com sua chave privada, e o Entra verifica a resposta com a chave pública cadastrada. Esse modelo reduz a exposição a ataques convencionais de roubo de credenciais por phishing.
A autenticação por telefone traz riscos diferentes. Nos ataques de troca de chip SIM, criminosos transferem fraudulentamente o número da vítima para um chip que controlam, podendo interceptar mensagens e chamadas de autenticação. Trocar o envio para outra operadora mantém o funcionamento, mas não elimina por completo essas fragilidades.
As organizações que precisam manter a autenticação por telefone podem configurar o Choose Your Own Telephony Provider (CYOT, escolha de provedor de telefonia próprio) por meio da Microsoft Security Store. A orientação da Microsoft sobre provedores de telefonia informa que a configuração estará disponível a partir de 30 de outubro de 2026.
O provedor escolhido envia as mensagens ou chamadas, enquanto o Entra continua aplicando as políticas de métodos de autenticação e coordenando o login. Os clientes são responsáveis pela escolha do provedor, pelos contratos, pelos requisitos de cobertura e pelo monitoramento do serviço.
Os administradores devem mapear os usuários afetados, priorizar as contas sem alternativas e concluir o cadastro antes da implantação. As equipes de suporte precisam de instruções claras que expliquem o prazo e a obrigatoriedade de cadastrar chaves de acesso para os usuários que dependem apenas do telefone.
As organizações também devem comunicar a mudança por canais confiáveis. Campanhas de phishing que induzem o cadastro de chaves de acesso já foram registradas e mostram como invasores podem explorar mensagens sobre a migração para cadastrar credenciais sob seu controle.
As configurações de telefonia gerenciadas pelos próprios clientes não são afetadas. Organizações que não utilizam a autenticação por SMS ou voz fornecida pela Microsoft não precisam tomar nenhuma providência em relação a esta desativação. Já os tenants afetados devem concluir a migração ou a configuração do provedor antes de 1º de fevereiro, para evitar interrupções desnecessárias no login.
