Microsoft establecerá las passkeys como la experiencia de autenticación predeterminada en Microsoft Entra ID para reducir los métodos de inicio de sesión vulnerables al phishing. Asimismo, la empresa eliminará la autenticación por SMS y voz proporcionada por Microsoft para el factor múltiple, impulsando a las organizaciones hacia credenciales resistentes al phishing. A partir del 1 de septiembre de 2026, los usuarios que utilicen SMS o voz deberán migrar a estos nuevos métodos.

Microsoft convertirá las passkeys (claves de acceso) en la experiencia de autenticación predeterminada en Microsoft Entra ID, como parte de un movimiento más amplio para abandonar los métodos de inicio de sesión propensos al phishing.

La empresa también retirará la autenticación por SMS y voz proporcionada por Microsoft para la autenticación multifactor (MFA), impulsando a las organizaciones hacia credenciales resistentes al phishing.

A partir del 1 de septiembre de 2026, los usuarios que actualmente tengan habilitada la autenticación por SMS o voz serán habilitados automáticamente para usar passkeys. Durante un futuro inicio de sesión con MFA, estos usuarios verán avisos que los animarán a registrar una passkey.

Microsoft gestionará la campaña de registro de passkeys por defecto. Sin embargo, tú puedes posponer repetidamente el aviso de registro durante el periodo de transición. El cambio está diseñado para reducir los riesgos asociados con la autenticación basada en SMS y voz.

Los atacantes pueden dirigir sus ataques a estos métodos mediante kits de phishing, SIM swapping, ingeniería social, portabilidad de números e interceptación. En su lugar, las passkeys utilizan credenciales criptográficas vinculadas a un dispositivo o a un gestor de credenciales.

Debido a que no hay un secreto compartido reutilizable que introducir en un sitio web falso, las passkeys están pensadas para resistir el phishing y los ataques de reproducción. Microsoft Entra ID es compatible con passkeys sincronizadas y vinculadas al dispositivo.

Passkeys de Microsoft Predeterminadas en Entra ID

Las passkeys sincronizadas pueden almacenarse en gestores de credenciales como el Llavero de iCloud o el Gestor de contraseñas de Google y utilizarse en todos tus dispositivos.

Las passkeys vinculadas al dispositivo permanecen en un dispositivo específico y pueden incluir Windows Hello for Business, passkeys de Microsoft Authenticator, Entra Passkey en Windows y claves de seguridad de hardware FIDO2.

La próxima fecha límite importante es el 1 de febrero de 2027. En esa fecha, Microsoft retirará por completo su entrega de telecomunicaciones nativa para SMS y voz en Entra ID.

Las organizaciones que sigan dependiendo de estos canales deberán utilizar un proveedor de telecomunicaciones gestionado por el cliente disponible a través de la Microsoft Security Store.

Microsoft planea publicar la información del proveedor a partir del 18 de septiembre de 2026, mientras que se espera que tú puedas seleccionar y configurar proveedores a partir del 30 de octubre de 2026.

Después de la fecha de retiro, los usuarios cuya única opción de MFA sea SMS o voz se enfrentarán a un aviso de registro de passkey bloqueante durante el inicio de sesión. Tendrán que registrar una passkey antes de acceder a su cuenta.

Microsoft afirma que no habrá opción de exclusión para esta aplicación, por lo que una migración temprana es esencial para evitar interrupciones en el acceso a la cuenta.

Primero debes identificar a los usuarios que todavía tengan habilitado SMS o voz en la Política de Métodos de Autenticación de Entra o en configuraciones de MFA heredadas. Microsoft proporciona un analizador basado en PowerShell para ayudarte a encontrar a los usuarios afectados.

Posteriormente, los equipos de seguridad deben habilitar Passkey (FIDO2), crear grupos de usuarios específicos y lanzar una campaña de registro escalonada antes de la migración automática.

Microsoft también ofrece una exclusión temporal para la fase de habilitación automática de passkeys entre el 1 de septiembre de 2026 y el 1 de febrero de 2027. Puedes utilizar Microsoft Graph para configurar la propiedad passkeyDynamicMigration en la política de métodos de autenticación.

Sin embargo, este ajuste solo retrasa la transición. No evita el retiro de febrero de 2027 ni el requisito obligatorio de registro de passkeys.

Para las empresas, este anuncio significa que el MFA por SMS y voz ahora debe tratarse como opciones de respaldo heredadas en lugar de controles de autenticación a largo plazo.

Debes priorizar las passkeys, Windows Hello for Business y las claves de seguridad FIDO2, reservando los servicios de telecomunicaciones gestionados por el cliente solo para requisitos operativos o regulatorios limitados.

Fuentes:
https://cybersecuritynews.com/microsoft-make-passkeys-default-in-entra-id/