Microsoft retira l'SMS i la trucada com a doble factor als comptes d'empresa a partir de l'1 de febrer

Què ha passat

Microsoft deixarà d'enviar pel seu compte els codis per SMS i les trucades de veu que moltes empreses fan servir com a segon factor per entrar a Microsoft 365. El canvi afecta Microsoft Entra ID, el servei que gestiona els comptes de feina de Microsoft 365.

Segons la documentació oficial de Microsoft, des de l'1 de setembre de 2026 les passkeys són el mètode d'accés per defecte, i a partir de l'1 de febrer de 2027 l'SMS i la trucada proporcionats per Microsoft deixen de funcionar per a tots els usuaris excepte els administradors globals i els usuaris externs, que tenen fins a l'1 de juliol de 2027.

Microsoft ho explica així: l'SMS i la veu són «entre els mètodes d'autenticació més vulnerables que existeixen avui» i ofereixen «una protecció significativament més feble» que les passkeys davant el phishing i el robatori de comptes. Aquesta setmana la companyia ha tornat a demanar als administradors que passin els seus usuaris a aquests mètodes, segons BleepingComputer.

Què sabem

• Des de l'1 de setembre de 2026, als usuaris que tenen activat l'SMS o la trucada se'ls ofereix registrar una passkey en iniciar sessió. De moment ho poden ajornar.
• Des de l'1 de febrer de 2027, qui només tingui l'SMS o la trucada com a segon factor haurà de registrar una passkey durant l'inici de sessió per continuar entrant. Aquest avís ja no es podrà saltar. Microsoft remarca que no hi ha opció d'excloure-se'n.
• Els codis d'una app d'autenticació (com els de Microsoft Authenticator) continuen admesos després de l'1 de febrer, i els usuaris que els facin servir no rebran aquest avís obligatori. Microsoft recorda que tampoc no són resistents al phishing.
• Qui necessiti continuar fent servir l'SMS pot contractar un proveïdor de telefonia a través de Microsoft Security Store des del 30 d'octubre de 2026. Té un cost, que varia segons el proveïdor i la regió. Passar a passkeys no té cost addicional.

Per què importa

L'SMS va ser durant anys la manera més senzilla d'activar la verificació en dos passos, i per això continua sent molt comú en empreses petites. Però un codi que arriba per SMS es pot robar: una web falsa te'l pot demanar i fer-lo servir a l'instant, i un duplicat de la targeta SIM el pot desviar. Les passkeys, segons Microsoft, fan servir claus criptogràfiques en lloc de secrets compartits i resisteixen el phishing, el duplicat de SIM i la reutilització de credencials.

Que Microsoft retiri l'SMS és una bona notícia per a la seguretat. El risc és fer-ho de pressa: si ningú no prepara el canvi, l'1 de febrer diversos empleats es trobaran alhora amb una pantalla que els obliga a configurar una cosa nova abans de poder obrir el correu.

Què significa per a una pime

En moltes pimes, Microsoft 365 el va configurar el proveïdor d'informàtica fa anys, amb l'SMS com a segon factor perquè era el més fàcil. Des de llavors:

• ningú no sap amb certesa quins empleats fan servir SMS i quins l'app;
• hi ha comptes compartits o d'antics empleats amb el mòbil d'algú que ja no hi és;
• l'administrador global de vegades és el compte del mateix gerent, amb l'SMS com a únic mètode.

Què hauria de fer la teva empresa aquesta setmana

1. Demana a qui gestioni el vostre Microsoft 365 la llista d'usuaris que encara fan servir SMS o trucada. Microsoft publica un script per obtenir-la.
2. Acordeu un pla per passar-los a l'app Microsoft Authenticator o a passkeys abans de gener, per grups i amb una explicació senzilla per a l'equip.
3. Comenceu pels comptes d'administrador i pels de qui gestiona pagaments o factures: són els que més interessa protegir.
4. Revisa els comptes que ningú no fa servir o que depenen del mòbil d'un antic empleat: és un bon moment per donar-los de baixa. Ho expliquem a la nostra guia sobre MFA (en castellà).
5. Només si hi ha un motiu real per mantenir l'SMS, demana pressupost per al proveïdor de telefonia de Microsoft Security Store. Per a la majoria de pimes, les passkeys o l'app són l'opció més segura i no costen res.