Microsoft retirará el inicio de sesión mediante SMS como primer factor para los inquilinos de Microsoft Entra ID a nivel mundial. Las organizaciones deberán migrar a los usuarios afectados antes del 1 de febrero de 2027. Esta medida de seguridad impedirá que los empleados utilicen un número de teléfono registrado y un código SMS como método de acceso principal, lo que podría afectar el funcionamiento de Microsoft 365 y otros servicios protegidos por Entra si los administradores no realizan el cambio.

Microsoft va a retirar el inicio de sesión de primer factor por SMS para los inquilinos de fuerza laboral de Microsoft Entra ID en todo el mundo y requiere que las organizaciones migren a los usuarios afectados antes del 1 de febrero de 2027.

Este cambio centrado en la seguridad evitará que los empleados utilicen un número de teléfono registrado y un código de un solo uso por SMS como su método de inicio de sesión principal, lo que podría interrumpir Microsoft 365 y otros servicios protegidos por Entra si los administradores no se preparan.

La autenticación de primer factor por SMS, identificada internamente como SignInNoPassword, permite que un usuario introduzca un número de teléfono registrado en lugar de un nombre de usuario y contraseña. Microsoft Entra ID envía entonces un código SMS de seis dígitos que completa la autenticación.

Aunque Microsoft inicialmente pretendía simplificar el acceso para los trabajadores de primera línea, ahora aconseja a las organizaciones que trasladen a esos usuarios a una autenticación moderna y resistente al phishing.

Inicio de sesión por SMS en Microsoft Entra ID

Según el aviso de actualización publicado por Microsoft, a partir del 1 de febrero de 2027, Entra ID bloqueará los intentos de autenticarse con un número de teléfono y un código de un solo uso por SMS como factor principal.

Las configuraciones existentes que permiten el SMS para el inicio de sesión ya no serán respetadas, mientras que los controles de gestión y configuración relacionados desaparecerán de las experiencias de administración de Microsoft.

La retirada se aplica a los inquilinos de todo el mundo y a los de la Nube Comunitaria del Gobierno de EE. UU. Se limita a la autenticación de la fuerza laboral de Microsoft Entra ID y no se extiende a los escenarios de identidad de cliente de Azure AD B2C o Microsoft Entra External ID.

Los usuarios que tengan otro método de autenticación registrado y permitido podrán seguir iniciando sesión, pero las cuentas que dependan exclusivamente de la autenticación de primer factor por SMS se enfrentarán a fallos de acceso.

Microsoft está alejando a los clientes de la autenticación basada en teléfono porque los códigos SMS siguen siendo vulnerables al phishing, la ingeniería social, el SIM-swapping, la reasignación de números y la interceptación de telecomunicaciones.

Un atacante que opere una página de phishing convincente puede capturar un código SMS y reproducirlo inmediatamente, haciendo que este método sea menos resistente que las credenciales criptográficas vinculadas al sitio web legítimo.

Las llaves de acceso (passkeys) solucionan esta debilidad mediante los estándares FIDO y la criptografía de clave pública vinculada al origen. La credencial privada permanece en el dispositivo del usuario, mientras que la operación de autenticación se restringe al servicio para el cual se registró la llave.

Este diseño hace que las passkeys sean resistentes al phishing de credenciales convencional y evita que los atacantes simplemente reproduzcan secretos de autenticación interceptados.

Microsoft retiró anteriormente el SMS como opción de inicio de sesión de primer factor para los inquilinos de Entra ID Free y dejó de habilitarlo para los inquilinos recién creados. El plazo de febrero amplía esa estrategia a los inquilinos de fuerza laboral existentes, continuando la transición más amplia de la compañía hacia el acceso sin contraseña y la autenticación resistente al phishing.

Cualquier organización que permita a sus empleados usar el SMS como método de inicio de sesión principal debe tratar la fecha límite como un proyecto de migración de identidad en lugar de un cambio de política rutinario.

Una vez que comience la aplicación, registrar un número de teléfono ya no proporcionará una vía alternativa para entrar en una cuenta, y las políticas de Acceso Condicional o los procedimientos operativos basados en el inicio de sesión por SMS pueden producir resultados inesperados.

El cambio también afectará a las organizaciones que utilicen la opción de "Elegir tu propio proveedor de telefonía". Los proveedores externos pueden seguir entregando desafíos de SMS o voz para escenarios compatibles de autenticación multifactor, pero no preservan el SMS como opción de inicio de sesión de primer factor.

Microsoft recomienda mantener la autenticación telefónica solo donde un requisito empresarial, técnico o regulatorio documentado impida la adopción de métodos resistentes al phishing.

Primero debes identificar a los usuarios que actualmente tienen habilitado el inicio de sesión por SMS y determinar si poseen otro método registrado. Los registros de inicio de sesión, los informes de métodos de autenticación, las asignaciones de políticas y los grupos de trabajadores de primera línea pueden ayudarte a identificar las cuentas en riesgo.

Presta especial atención a los entornos de dispositivos compartidos, a los usuarios sin smartphones corporativos y a los procesos de recuperación que aún dependen de números de teléfono.

Los usuarios afectados deben entonces registrar passkeys, Windows Hello for Business o llaves de seguridad FIDO2. Microsoft también identifica la autenticación por código QR como una alternativa para escenarios de primera línea y dispositivos compartidos; Entra representa este método como una combinación de código QR y PIN administrada para el usuario.

Las organizaciones deberían probar cada opción frente a su parque de dispositivos, requisitos de navegador y fortalezas de autenticación de Acceso Condicional antes de un despliegue masivo.

También debes actualizar las instrucciones de inscripción, los procedimientos del centro de ayuda, la planificación de "break-glass" (emergencia) y las comunicaciones con los usuarios. Una migración escalonada con campañas de registro monitoreadas reducirá la demanda de soporte de último minuto y expondrá problemas de compatibilidad de aplicaciones antes de la aplicación final.

Por lo tanto, el 1 de febrero de 2027 es una fecha límite operativa estricta. Las organizaciones que inventaríen ahora las cuentas dependientes de SMS, desplieguen credenciales adecuadas resistentes al phishing y eliminen las dependencias de SMS de primer factor pueden evitar bloqueos y, al mismo tiempo, fortalecer materialmente su postura de seguridad de Microsoft Entra ID.