Microsoft rozpoczyna jedną z większych zmian w sposobie logowania do kont firmowych. Kody wysyłane SMS-em i uwierzytelnianie przez połączenia głosowe przestaną być natywnie dostarczane przez Microsoft Entra ID. Ich miejsce mają zająć przede wszystkim passkeys, czyli klucze dostępu odporne na typowe ataki phishingowe.
Z tego artykułu dowiesz się:
- kiedy Microsoft wycofa własne SMS-y i połączenia głosowe,
- co stanie się z osobami używającymi obecnie kodów SMS,
- czym passkeys różnią się od hasła i kodu jednorazowego,
- czy nadal będzie można korzystać z SMS-ów,
- co powinni zrobić administratorzy Microsoft Entra ID przed 2027 rokiem.
Microsoft już rozpoczął migrację użytkowników do passkeys
Pierwszy etap zmian rozpoczął się 1 września 2026 roku.
Użytkownicy Microsoft Entra ID, którzy mają włączone uwierzytelnianie za pomocą wiadomości SMS lub połączeń głosowych, są stopniowo obejmowani możliwością rejestracji passkeys. Podczas logowania z wykorzystaniem MFA mogą otrzymywać komunikat zachęcający do skonfigurowania klucza dostępu.
Na tym etapie SMS-y nadal działają. Microsoft chce jednak wykorzystać najbliższe miesiące do przeniesienia jak największej liczby użytkowników na metody odporne na phishing.
Najważniejsza zmiana nastąpi w 2027 roku.
1 lutego 2027 roku Microsoft przestanie dostarczać kody SMS
Dla większości użytkowników kluczową datą jest 1 lutego 2027 roku.
Od tego dnia Microsoft przestanie samodzielnie świadczyć usługę wysyłania wiadomości SMS i wykonywania połączeń głosowych wykorzystywanych do uwierzytelniania w Entra ID.
Nie oznacza to jednak natychmiastowego zablokowania kont osób, które dotychczas korzystały wyłącznie z SMS-ów.
Jeżeli po tej dacie jedyną skonfigurowaną metodą MFA użytkownika pozostanie SMS albo połączenie głosowe, podczas logowania pojawi się obowiązkowy ekran rejestracji passkey. Bez zakończenia tego procesu użytkownik nie będzie mógł przejść dalej.
Dla tej części migracji nie będzie możliwości trwałego wyłączenia wymogu.
Administratorzy globalni dostają więcej czasu
Microsoft przewidział późniejszy termin dla dwóch grup:
- administratorów globalnych,
- użytkowników zewnętrznych.
W ich przypadku własna obsługa SMS i połączeń głosowych przez Microsoft zostanie wyłączona 1 lipca 2027 roku.
Nie dotyczy to natomiast wewnętrznych kont gości. Te pozostają objęte wcześniejszym terminem – 1 lutego.
W praktyce harmonogram wygląda więc następująco:
| Data | Co się zmienia |
|---|---|
| 1 września 2026 | użytkownicy korzystający z SMS/voice zaczynają być kierowani do rejestracji passkeys |
| 18 września 2026 | udostępniane są informacje o zewnętrznych operatorach telekomunikacyjnych |
| 30 października 2026 | firmy będą mogły konfigurować obsługiwanego zewnętrznego operatora |
| 1 lutego 2027 | Microsoft wyłącza własne SMS/voice dla większości użytkowników |
| 1 lipca 2027 | zmiana obejmuje również administratorów globalnych i użytkowników zewnętrznych |
Dlaczego Microsoft rezygnuje z kodów SMS?
SMS przez wiele lat był jednym z najprostszych sposobów wdrożenia uwierzytelniania wieloskładnikowego.
Nadal jest znacznie lepszy niż korzystanie wyłącznie z hasła, ale ma istotną wadę: kod można przechwycić lub wyłudzić od użytkownika.
Najprostszy przykład to klasyczny phishing.
Użytkownik trafia na fałszywą stronę logowania Microsoft 365. Wpisuje login i hasło, a następnie otrzymany SMS-em kod. Atakujący może wykorzystać te dane niemal natychmiast do zalogowania się do prawdziwego serwisu.
Jeżeli chcesz zobaczyć, jak reagować na taki scenariusz w praktyce, przygotowaliśmy osobny poradnik: kliknąłem w podejrzany link – co zrobić krok po kroku?
Istnieją również inne zagrożenia związane z telefonią, takie jak przejęcie numeru telefonu poprzez SIM swapping czy ataki na infrastrukturę telekomunikacyjną.
Passkeys rozwiązują dużą część tego problemu w zupełnie inny sposób.
Czym właściwie jest passkey?
Passkey, czyli klucz dostępu, zastępuje tradycyjne przekazywanie użytkownikowi sekretu, który musi następnie wpisać na stronie.
Nie otrzymujemy więc:
- hasła jednorazowego,
- kodu z SMS-a,
- ciągu cyfr do przepisania.
Zamiast tego wykorzystywana jest kryptografia klucza publicznego.
Urządzenie użytkownika posiada klucz prywatny, który nie jest przekazywany stronie internetowej. Usługa przechowuje natomiast odpowiadający mu klucz publiczny.
Podczas logowania urządzenie potwierdza, że posiada właściwy klucz prywatny.
Użytkownik może zatwierdzić operację np. odciskiem palca, rozpoznawaniem twarzy, kodem PIN urządzenia albo kluczem sprzętowym.
Passkey jest znacznie trudniej wyłudzić przez phishing
Największą różnicę widać właśnie podczas ataku phishingowego.
Kod SMS można wpisać praktycznie na dowolnej stronie.
Passkey jest powiązany z konkretną usługą. Jeżeli użytkownik trafi na fałszywą witrynę podszywającą się pod Microsoft, mechanizm uwierzytelniania nie powinien przekazać jej danych potrzebnych do zalogowania się do prawdziwej domeny.
Dlatego Microsoft określa passkeys jako metodę odporną na phishing.
Podobną kategorię zabezpieczeń stanowią m.in.:
- Windows Hello for Business,
- sprzętowe klucze bezpieczeństwa FIDO2.
Trzeba jednak pamiętać, że nawet silniejsze uwierzytelnianie nie rozwiązuje wszystkich problemów. Osobnym zagrożeniem jest np. kradzież sesji przeglądarki, która może pozwolić przejąć konto mimo 2FA.
Dla firm jest to szczególnie istotne, ponieważ przejęcie konta Microsoft 365 może oznaczać dostęp nie tylko do poczty, ale również SharePointa, OneDrive, Teams czy innych danych organizacji.
Czy SMS-y znikną całkowicie?
Nie.
I jest to ważne, ponieważ nagłówki mówiące, że „Microsoft likwiduje logowanie przez SMS”, upraszczają sytuację.
Microsoft przede wszystkim przestaje samodzielnie dostarczać SMS-y i połączenia głosowe jako natywną usługę Entra ID.
Organizacje, które z powodów technicznych, biznesowych lub regulacyjnych nadal potrzebują takiego kanału, będą mogły skorzystać z programu Choose Your Own Telephony Provider.
Firma wybierze wtedy obsługiwanego operatora poprzez Microsoft Security Store i sama będzie utrzymywała relację z dostawcą usług telekomunikacyjnych.
Możliwość konfiguracji takiego operatora ma być dostępna od 30 października 2026 roku.
Trzeba również liczyć się z kosztami naliczanymi przez wybranego operatora.
Zmiana obejmie również resetowanie hasła
SMS i połączenia głosowe w Entra ID nie służą wyłącznie do typowego MFA.
Mogą być także wykorzystywane w mechanizmie Self-Service Password Reset, czyli samodzielnego resetowania hasła przez użytkownika.
Microsoft potwierdza, że wycofanie własnej obsługi telekomunikacyjnej obejmie również ten mechanizm.
Administratorzy powinni więc sprawdzić nie tylko sposób wykonywania MFA, ale cały proces odzyskiwania dostępu do kont.
To szczególnie ważne w firmach, w których numer telefonu był dotychczas podstawowym sposobem potwierdzania tożsamości pracownika po utracie hasła.
Czy dotyczy to zwykłych kont Microsoft?
Opisywana zmiana dotyczy Microsoft Entra ID, czyli systemu zarządzania tożsamością wykorzystywanego przede wszystkim przez firmy i organizacje.
Nie należy więc automatycznie interpretować jej jako zapowiedzi likwidacji SMS-ów we wszystkich usługach Microsoftu i na wszystkich prywatnych kontach użytkowników.
Harmonogram dotyczy środowisk Entra ID w publicznej chmurze.
Microsoft zaznacza również, że Azure AD B2C nie jest objęte tą zmianą, natomiast dla Microsoft Entra External ID ma zostać przedstawiony oddzielny harmonogram.
Co administrator Entra ID powinien zrobić już teraz?
Do lutego 2027 roku pozostało jeszcze kilka miesięcy, ale w większej organizacji migracji nie warto zostawiać na ostatnią chwilę.
Pierwszym krokiem powinno być ustalenie, ilu użytkowników nadal korzysta z SMS-ów lub połączeń głosowych.
Następnie warto podzielić ich na dwie grupy.
Użytkownicy, których można przenieść na passkeys
Dla zdecydowanej większości pracowników będzie to rozwiązanie rekomendowane przez Microsoft.
Migrację warto przeprowadzić najpierw na niewielkiej grupie testowej. Pozwala to sprawdzić, jak proces rejestracji wygląda na rzeczywistych komputerach i telefonach używanych w organizacji.
Dopiero później można rozszerzyć zmianę na kolejnych pracowników.
Użytkownicy, którzy nadal muszą korzystać z SMS
Jeżeli istnieje realny techniczny lub regulacyjny powód pozostania przy telefonii, trzeba przygotować się do wyboru zewnętrznego dostawcy.
Od 30 października 2026 roku administratorzy mają otrzymać możliwość jego konfiguracji poprzez Microsoft Security Store.
Przed zmianą warto przeprowadzić test na niewielkiej grupie i dopiero później wdrożyć rozwiązanie szerzej.
Warto też przygotować użytkowników
Największym problemem podczas podobnych migracji często nie okazuje się sama technologia.
Problemem są użytkownicy, którzy pewnego dnia podczas logowania widzą zupełnie nowy komunikat i nie wiedzą, co mają zrobić.
Dlatego przed rozpoczęciem masowej migracji dobrze poinformować pracowników:
- dlaczego pojawia się prośba o utworzenie passkey,
- jak wygląda jego rejestracja,
- gdzie będzie przechowywany,
- jak zalogować się z nowego urządzenia,
- co zrobić po zgubieniu telefonu lub komputera.
Ma to dodatkową zaletę z punktu widzenia bezpieczeństwa.
Jeżeli pracownicy wiedzą, że firma przechodzi na nową metodę logowania, trudniej będzie wykorzystać tę zmianę w kampanii phishingowej podszywającej się pod dział IT.
SMS nie znika dlatego, że przestał działać
Wiadomości SMS przez lata znacząco zwiększały bezpieczeństwo kont, ponieważ wprowadzały dodatkowy krok poza samym hasłem.
Problem polega na tym, że współczesne ataki coraz częściej potrafią ominąć klasyczne MFA.
Dlatego kierunek obrany przez Microsoft jest szerszy niż samo zastąpienie SMS-a innym sposobem dostarczania kodu.
Kod ma w ogóle przestać być czymś, co użytkownik może wpisać na fałszywej stronie.
Dla zwykłego użytkownika passkey może ostatecznie oznaczać prostsze logowanie. Dla administratorów najbliższe miesiące oznaczają jednak konieczność sprawdzenia obecnej konfiguracji Entra ID i przygotowania firmy przed lutym 2027 roku.
