Microsoft retira o SMS e a chamada como dobre factor nas contas de empresa a partir do 1 de febreiro

Que pasou

Microsoft vai deixar de enviar pola súa conta os códigos por SMS e as chamadas de voz que moitas empresas usan como segundo factor para entrar en Microsoft 365. O cambio afecta a Microsoft Entra ID, o servizo que xestiona as contas de traballo de Microsoft 365.

Segundo a documentación oficial de Microsoft, desde o 1 de setembro de 2026 as passkeys son o método de acceso por defecto, e a partir do 1 de febreiro de 2027 o SMS e a chamada proporcionados por Microsoft deixan de funcionar para todos os usuarios agás os administradores globais e os usuarios externos, que teñen ata o 1 de xullo de 2027.

Microsoft explícao así: o SMS e a voz están «entre os métodos de autenticación máis vulnerables que existen hoxe» e ofrecen «unha protección significativamente máis débil» ca as passkeys fronte ao phishing e ao roubo de contas. Esta semana a compañía volveu pedir aos administradores que pasen os seus usuarios a estes métodos, segundo BleepingComputer.

Que sabemos

• Desde o 1 de setembro de 2026, aos usuarios que teñen activado o SMS ou a chamada ofréceselles rexistrar unha passkey ao iniciar sesión. Polo de agora poden adialo.
• Desde o 1 de febreiro de 2027, quen só teña o SMS ou a chamada como segundo factor terá que rexistrar unha passkey durante o inicio de sesión para seguir entrando. Ese aviso xa non se poderá saltar. Microsoft subliña que non hai opción de excluírse.
• Os códigos dunha app de autenticación (como os de Microsoft Authenticator) seguen admitidos despois do 1 de febreiro, e os usuarios que os usen non recibirán ese aviso obrigatorio. Microsoft lembra que tampouco son resistentes ao phishing.
• Quen necesite seguir usando SMS pode contratar un provedor de telefonía a través de Microsoft Security Store desde o 30 de outubro de 2026. Ten un custo, que varía segundo o provedor e a rexión. Pasar a passkeys non ten custo adicional.

Por que importa

O SMS foi durante anos a forma máis sinxela de activar a verificación en dous pasos, e por iso segue sendo moi común en empresas pequenas. Pero un código que chega por SMS pódese roubar: unha web falsa pode pedircho e usalo no momento, e un duplicado da tarxeta SIM pode desvialo. As passkeys, segundo Microsoft, usan chaves criptográficas en lugar de segredos compartidos e resisten o phishing, o duplicado de SIM e a reutilización de credenciais.

Que Microsoft retire o SMS é unha boa noticia para a seguridade. O risco está en facelo ás présas: se ninguén prepara o cambio, o 1 de febreiro varios empregados atoparanse á vez cunha pantalla que os obriga a configurar algo novo antes de poder abrir o correo.

Que significa para unha peme

En moitas pemes, Microsoft 365 configurouno o provedor de informática hai anos, co SMS como segundo factor porque era o máis doado. Desde entón:

• ninguén sabe con certeza que empregados usan SMS e cales a app;
• hai contas compartidas ou de antigos empregados co móbil de alguén que xa non está;
• o administrador global ás veces é a conta do propio xerente, co SMS como único método.

Que debería facer a túa empresa esta semana

1. Pídelle a quen xestione o voso Microsoft 365 a lista de usuarios que aínda usan SMS ou chamada. Microsoft publica un script para obtela.
2. Acordade un plan para pasalos á app Microsoft Authenticator ou a passkeys antes de xaneiro, por grupos e cunha explicación sinxela para o equipo.
3. Empezade polas contas de administrador e polas de quen xestiona pagamentos ou facturas: son as que máis interesa protexer.
4. Revisa as contas que ninguén usa ou que dependen do móbil dun antigo empregado: é bo momento para dalas de baixa. Explicámolo na nosa guía sobre MFA (en castelán).
5. Só se hai un motivo real para manter o SMS, pide orzamento para o provedor de telefonía de Microsoft Security Store. Para a maioría das pemes, as passkeys ou a app son a opción máis segura e non custan nada.