Microsoft retira el SMS y la llamada como doble factor en las cuentas de empresa a partir del 1 de febrero

Qué ha pasado

Microsoft va a dejar de enviar por su cuenta los códigos por SMS y las llamadas de voz que muchas empresas usan como segundo factor para entrar en Microsoft 365. El cambio afecta a Microsoft Entra ID, el servicio que gestiona las cuentas de trabajo de Microsoft 365.

Según la documentación oficial de Microsoft, desde el 1 de septiembre de 2026 las passkeys son el método de acceso por defecto, y a partir del 1 de febrero de 2027 el SMS y la llamada proporcionados por Microsoft dejan de funcionar para todos los usuarios salvo los administradores globales y los usuarios externos, que tienen hasta el 1 de julio de 2027.

Microsoft lo explica así: el SMS y la voz están «entre los métodos de autenticación más vulnerables que existen hoy» y ofrecen «una protección significativamente más débil» que las passkeys frente al phishing y el robo de cuentas. Esta semana la compañía ha vuelto a pedir a los administradores que pasen a sus usuarios a estos métodos, según BleepingComputer.

Qué sabemos

• Desde el 1 de septiembre de 2026, a los usuarios que tienen activado el SMS o la llamada se les ofrece registrar una passkey al iniciar sesión. Por ahora pueden posponerlo.
• Desde el 1 de febrero de 2027, quien solo tenga el SMS o la llamada como segundo factor tendrá que registrar una passkey durante el inicio de sesión para seguir entrando. Ese aviso ya no se podrá saltar. Microsoft subraya que no hay opción de excluirse.
• Los códigos de una app de autenticación (como los de Microsoft Authenticator) siguen admitidos después del 1 de febrero, y los usuarios que los usen no recibirán ese aviso obligatorio. Microsoft recuerda que tampoco son resistentes al phishing.
• Quien necesite seguir usando SMS puede contratar un proveedor de telefonía a través de Microsoft Security Store desde el 30 de octubre de 2026. Tiene coste, que varía según el proveedor y la región. Pasar a passkeys no tiene coste adicional.

Por qué importa

El SMS fue durante años la forma más sencilla de activar la verificación en dos pasos, y por eso sigue siendo muy común en empresas pequeñas. Pero un código que llega por SMS se puede robar: una web falsa puede pedírtelo y usarlo al momento, y un duplicado de la tarjeta SIM puede desviarlo. Las passkeys, según Microsoft, usan claves criptográficas en lugar de secretos compartidos y resisten el phishing, el duplicado de SIM y la reutilización de credenciales.

Que Microsoft retire el SMS es una buena noticia para la seguridad. El riesgo está en hacerlo deprisa: si nadie prepara el cambio, el 1 de febrero varios empleados se encontrarán a la vez con una pantalla que les obliga a configurar algo nuevo antes de poder abrir el correo.

Qué significa para una pyme

En muchas pymes, Microsoft 365 lo configuró el proveedor de informática hace años, con el SMS como segundo factor porque era lo más fácil. Desde entonces:

• nadie sabe con certeza qué empleados usan SMS y cuáles la app;
• hay cuentas compartidas o de antiguos empleados con el móvil de alguien que ya no está;
• el administrador global a veces es la cuenta del propio gerente, con el SMS como único método.

Qué debería hacer tu empresa esta semana

1. Pide a quien gestione vuestro Microsoft 365 la lista de usuarios que todavía usan SMS o llamada. Microsoft publica un script para obtenerla.
2. Acordad un plan para pasarlos a la app Microsoft Authenticator o a passkeys antes de enero, por grupos y con una explicación sencilla para el equipo.
3. Empezad por las cuentas de administrador y por las de quien gestiona pagos o facturas: son las que más interesa proteger.
4. Revisa las cuentas que nadie usa o que dependen del móvil de un antiguo empleado: es buen momento para darlas de baja. Lo explicamos en nuestra guía sobre MFA.
5. Solo si hay un motivo real para mantener el SMS, pide presupuesto para el proveedor de telefonía de Microsoft Security Store. Para la mayoría de pymes, las passkeys o la app son la opción más segura y no cuestan nada.