Microsoft abandona los SMS en Entra ID e impone la transición hacia las passkeys
El SMS ha sido durante mucho tiempo la forma más sencilla de autenticación de dos factores. Sin embargo, Microsoft considera que esta simplicidad se ha convertido en una debilidad: frente a las campañas de phishing cada vez más automatizadas por la IA, Entra ID comenzará a privilegiar progresivamente las passkeys antes de eliminar en febrero de 2027 la provisión nativa de códigos SMS y de llamadas de voz por parte de Microsoft.
Microsoft quiere salir de la era del código recibido por SMS
Microsoft acelera su transición hacia una autenticación resistente al phishing. A partir del 1 de septiembre de 2026, los usuarios de Microsoft Entra ID que actualmente pueden autenticarse mediante SMS o llamadas de voz serán automáticamente elegibles para las passkeys y pueden ser invitados a registrar una durante su conexión.
El cambio se volverá mucho más significativo el 1 de febrero de 2027. En esta fecha, Microsoft dejará de proporcionar nativamente la entrega de SMS y llamadas de voz utilizados para la autenticación multifactor en Entra ID. Los usuarios que solo tengan estos métodos deberán registrar una passkey antes de poder continuar su conexión.
Para Microsoft, la conclusión es clara: los SMS y las llamadas de voz ya no deben considerarse métodos suficientemente seguros para proteger las identidades profesionales. En su lugar, la compañía promueve tecnologías basadas en criptografía, como las passkeys, Windows Hello o las claves de seguridad FIDO2.
Por lo tanto, no se trata simplemente de una nueva opción añadida en Entra. Microsoft está buscando moverse gradualmente hacia un nuevo estándar de seguridad.
La IA da una nueva dimensión al phishing
La decisión llega en un momento en que la inteligencia artificial facilita enormemente la creación y automatización de campañas de phishing. Microsoft explica que los ciberataques se están automatizando cada vez más y son impulsados por IA. Según datos citados por la compañía en su Security Blog, algunas campañas de phishing utilizando IA pueden alcanzar tasas de clic de hasta el 54 %.
La IA no “piratea” directamente un SMS. En su lugar, reduce el costo y la dificultad de las operaciones que preceden al robo de una cuenta.
Los atacantes pueden generar correos electrónicos creíbles más rápidamente, adaptar sus mensajes a una víctima específica, automatizar ciertas interacciones o imitar el tono de un servicio legítimo. Cuando un usuario finalmente comparte su contraseña o un código de un solo uso, la eficacia de la segunda capa de seguridad se desvanece.
A esto se suma el riesgo del SIM swapping, en el que un atacante logra transferir el número de teléfono de una víctima a una tarjeta SIM que controla.
Microsoft señala específicamente que las passkeys están diseñadas para resistir al phishing, al SIM swapping y a los ataques de repetición. A diferencia de un código que el usuario puede ingresar en una página falsa, utilizan claves criptográficas asociadas al servicio legítimo.
Las passkeys cambian profundamente el modelo de seguridad
El principio de una passkey es relativamente simple para el usuario. En lugar de ingresar una contraseña y luego un código recibido por teléfono, la autenticación puede realizarse con el mecanismo que ya se utiliza para desbloquear un dispositivo: reconocimiento facial, huella digital o código PIN local.
Sin embargo, detrás de esta interfaz familiar funciona una arquitectura muy diferente.
La passkey utiliza un par de claves criptográficas. La clave privada permanece protegida en el dispositivo o en un gestor de identidades sincronizado, mientras que el servicio conserva la parte pública necesaria para la verificación. Esta arquitectura permite eliminar uno de los elementos fundamentales del phishing: un usuario ya no tiene un secreto reutilizable que podría transmitir accidentalmente a un atacante.
Microsoft Entra ID ahora admite tanto passkeys sincronizadas entre varios dispositivos como passkeys asociadas a un solo dispositivo, incluyendo a través de Microsoft Authenticator, Windows o ciertas claves de seguridad FIDO2.
Un calendario en dos etapas para las empresas
Para los administradores de TI, la primera fecha clave es el 1 de septiembre de 2026. Los usuarios autorizados a utilizar SMS o llamadas de voz en la política de métodos de autenticación de Entra serán automáticamente activados para las passkeys. Microsoft también pondrá las campañas de registro correspondientes en un modo administrado para alentar progresivamente a los usuarios a migrar.
Sin embargo, Microsoft prevé la posibilidad de desactivar temporalmente esta migración automática entre septiembre de 2026 y febrero de 2027, permitiendo a las organizaciones adaptar su infraestructura.
El verdadero punto de inflexión se producirá el 1 de febrero de 2027. A partir de esta fecha, el servicio de envío de SMS y llamadas proporcionado directamente por Microsoft desaparecerá de Entra ID. No habrá opción de retrasar esta fecha límite para continuar utilizando el servicio de telecomunicaciones nativo de Microsoft.
Sin embargo, es importante hacer una aclaración: esto no significa que todo uso profesional de SMS se vuelva técnicamente imposible. Microsoft planea una solución para las organizaciones con requisitos regulatorios u operativos específicos. Estas podrán recurrir a un proveedor de telecomunicaciones gestionado por el cliente a través del Microsoft Security Store para continuar utilizando SMS o voz en ciertos escenarios.
En otras palabras, Microsoft no prohíbe totalmente el canal telefónico, sino que deja de considerarlo un método nativo y recomendado en Entra ID.
Las cuentas personales de Microsoft siguen la misma dirección
La estrategia no solo afecta a las empresas. Microsoft también ha comenzado a retirar gradualmente los códigos SMS de la autenticación y recuperación de cuentas personales de Microsoft. La compañía ahora presenta el SMS como una fuente importante de fraude y orienta a sus usuarios hacia las passkeys y direcciones de correo electrónico verificadas.
Esto podría afectar potencialmente a cuentas utilizadas para servicios como Outlook, Xbox o ciertas conexiones en Windows.
Sin embargo, Microsoft no comunica en su documentación pública actual un plazo general equivalente al 1 de febrero de 2027 para todas las cuentas personales. La transición está en marcha, pero su calendario no debe confundirse con el de Microsoft Entra ID.
Microsoft ya no quiere asegurar las contraseñas: quiere eludirlas
Detrás de esta evolución se perfila una transformación mucho más amplia de la identidad digital. Durante años, la industria ha intentado fortalecer la contraseña añadiendo una segunda verificación: código SMS, notificación en el smartphone o aplicación de autenticación.
La llegada de las passkeys da la vuelta a esta lógica.
En lugar de multiplicar las barreras en torno a un secreto que puede ser robado, los actores del sector buscan eliminar gradualmente ese secreto mismo. Microsoft indica que ya ha eliminado los métodos de autenticación más débiles en su propio entorno interno y ha desplegado soluciones resistentes al phishing para la gran mayoría de sus usuarios y dispositivos.
El auge de la IA acelera esta transición. A medida que un atacante puede generar mensajes más creíbles, automatizar sus campañas y personalizar sus técnicas de ingeniería social, la seguridad ya no puede depender únicamente de la capacidad de un usuario para reconocer un intento de fraude.
La respuesta de Microsoft es, por lo tanto, hacer que ciertos secretos sean imposibles de divulgar, incluso cuando el usuario sea engañado. Y, tal vez, ese sea el verdadero cambio: en un mundo donde el phishing se vuelve más convincente, la mejor autenticación podría ser aquella que ya no le pide al usuario que distinga entre lo verdadero y lo falso.
