A Microsoft definiu o fim do SMS e da voz como métodos nativos de autenticação multifator no Entra ID: a entrega de telefonia fornecida pela própria empresa termina em 1º de fevereiro de 2027 e, a partir dessa data, usuários que tiverem apenas SMS ou voz como segundo fator serão obrigados a registrar uma passkey em um prompt bloqueante antes de conseguir entrar na conta, sem opção de desativar a exigência. A mudança afeta todos os tenants da nuvem pública com usuários habilitados para esses métodos, incluindo convidados internos. A ação prioritária é levantar agora quem ainda depende de telefonia e migrar esse grupo para um método resistente a phishing antes do prazo.
O que muda no Entra ID
Desde 1º de setembro de 2026, passkeys se tornaram o método padrão de autenticação no Entra ID: usuários habilitados para SMS ou voz foram ativados automaticamente para passkeys na política de métodos de autenticação (AMP) e passaram a receber, no próximo login com MFA, o convite para registrar a credencial. A Microsoft afirma que SMS e voz não são mais posicionados como métodos seguros, porque dependem de segredos compartilhados e de canais que invasores interceptam, fraudam por engenharia social ou burlam com troca de chip (SIM swap).
A segunda etapa é a que exige decisão da equipe defensiva: a partir de 1º de fevereiro de 2027, o SMS e a voz fornecidos pela Microsoft deixam de existir como entrega nativa no Entra ID para todos os usuários, exceto administradores globais e usuários externos, que seguem até 1º de julho de 2027. Convidados internos permanecem no grupo de fevereiro. Quem estiver no escopo e tiver apenas telefonia como segundo fator verá um prompt bloqueante exigindo registro de passkey — a documentação oficial é explícita: não existe opção de desativar esse comportamento de enforcement.
O contexto de ameaça justifica o aperto. Campanhas de phishing apoiadas por IA elevaram as taxas de cliques e técnicas como SIM swap ficaram acessíveis e replicáveis, o que torna fatores phishables o elo mais fraco da cadeia de identidade — o mesmo elo explorado quando logs de infostealer viram atalho para o SSO corporativo e quando campanhas abusam de apps OAuth já autenticados para escalar o acesso.
Calendário oficial da aposentadoria
O cronograma abaixo consolida os marcos publicados pela Microsoft para a nuvem pública; outros ambientes de nuvem seguem calendário separado, ainda sem datas anunciadas.
| Data | Marco | Consequência operacional |
|---|---|---|
| 1º de setembro de 2026 | Passkeys viram experiência padrão | Usuários de SMS e voz são autoativados para passkeys e recebem convite de registro no próximo MFA |
| 30 de outubro de 2026 | Operadoras no Security Store | Admins podem contratar e configurar operadora de telefonia externa para segmentos que precisam manter SMS ou voz |
| 1º de fevereiro de 2027 | Fim da telefonia nativa | SMS e voz fornecidos pela Microsoft param para todos, exceto administradores globais e usuários externos; convidados internos seguem nesta data |
| Após 1º de fevereiro de 2027 | Prompt bloqueante | Usuário com apenas SMS ou voz precisa registrar passkey antes de entrar; sem opt-out |
| 1º de julho de 2027 | Fim para perfis privilegiados | Administradores globais e usuários externos perdem a entrega nativa e entram na mesma regra de prompt bloqueante |
Quem é afetado agora
O escopo alcança qualquer tenant com usuários habilitados para SMS ou voz na política de métodos de autenticação ou nas configurações legadas de MFA. Três públicos exigem atenção separada: convidados internos, que caem no prazo de fevereiro mesmo sendo hóspedes; administradores globais e usuários externos, que ganham até julho de 2027; e segmentos regulados com exigência documentada de canal fora de banda por SMS. Para esse último grupo, desde 30 de outubro de 2026 é possível contratar uma operadora de telefonia pela Microsoft Security Store, com Soprano e Telesign como provedores iniciais em prévia privada — e o custo da telefonia passa a ser responsabilidade do cliente, não da Microsoft.
O ponto de partida é a descoberta. A Microsoft publica o script entra-sms-voice-usage-analyzer no GitHub para listar quem ainda usa SMS ou voz no tenant; a execução exige uma das funções global reader, Authentication policy administrator ou Security reader. Sem esse inventário, a campanha de registro de passkeys e a contratação de operadora ficam sem escopo definido.
Como planejar a migração
O roteiro recomendado pela documentação oficial cabe em cinco etapas verificáveis:
- Inventariar usuários de SMS e voz com o script de análise de uso e revisar a política de métodos de autenticação e as configurações legadas de MFA.
- Habilitar passkeys escolhendo os tipos adequados ao parque de dispositivos: passkeys sincronizadas em gerenciadores como iCloud Keychain e Google Password Manager, ou passkeys vinculadas ao dispositivo, como Passkey no Microsoft Authenticator, Entra passkey no Windows e chaves de hardware FIDO2.
- Ativar campanha de registro em Entra ID > Authentication methods > Registration campaign, no estado Microsoft Managed, direcionada ao grupo de usuários de telefonia identificado no inventário — é o caminho de menor carga para o help desk.
- Avaliar operadora apenas para segmentos com exigência real: documentar a norma ou cenário que obriga SMS, contratar pelo Microsoft Security Store e testar com grupo piloto antes de expandir.
- Comunicar em fases (conhecimento, ação e lembrete), com escopo no mesmo grupo do inventário, usando os modelos de comunicação da Microsoft para e-mail, Teams e portal interno.
Há ainda uma válvula de escape temporária: pelo Microsoft Graph, com a permissão Policy.ReadWrite.AuthenticationMethod, o administrador pode ajustar a propriedade passkeyDynamicMigration para verdadeiro e adiar a ativação automática de passkeys durante a janela de transição. O ajuste não suspende o enforcement — a partir de 1º de fevereiro de 2027 a exigência vale para todos os tenants no escopo, sem exceção.
Decisões P1 e P2
Prioridade P1, antes do fim do ano: completar o inventário de usuários de telefonia; migrar primeiro administradores globais e contas de recuperação, que concentram risco e caminhos de retomada do tenant; validar passkeys vinculadas a dispositivo em máquinas compartilhadas e quiosques; e incluir o relatório de atividade de métodos de autenticação na rotina de monitoramento para medir a adesão.
Prioridade P2, até 1º de fevereiro de 2027: contratar operadora apenas para os segmentos regulados documentados; revisar políticas de acesso condicional para exigir MFA resistente a phishing nos perfis privilegiados; e tratar convidados internos como população própria, com comunicação dedicada, para que a data de fevereiro não gere bloqueio silencioso de hóspedes que só conhecem SMS.