Microsoft elimină autentificarea prin SMS: ce trebuie să facă firmele

Securitatea conturilor de firmă bazată pe simple coduri primite prin SMS a fost multă vreme o zonă de confort înșelătoare pentru multe companii. Totuși, evoluția constantă a atacurilor cibernetice face ca aceste metode tradiționale să devină un pericol real. Echipa noastră de la Activ.NET analizează frecvent infrastructurile clienților din Arad și observăm că multe firme încă se bazează pe practici învechite, expunându-se la breșe de securitate grave.

#Ce s-a întâmplat

Într-o actualizare transmisă în Microsoft 365 Message Center, gigantul american a reamintit administratorilor de sistem că serviciul integrat de autentificare prin SMS și apel vocal din Microsoft Entra ID va fi retras definitiv începând cu data de 1 februarie 2027. Potrivit anunțului oficial, această decizie vizează exclusiv scenariile de autentificare pentru organizațiile de tip workforce (pentru angajați), nu și ID-urile externe sau B2C. Microsoft motivează schimbarea prin vulnerabilitatea evidentă a SMS-urilor și a apelurilor vocale în fața atacurilor de phishing și a clonării sau portării frauduloase a cartelelor (SIM-swap). Încă din luna iulie, compania a anunțat introducerea passkeys ca metodă implicită de autentificare, urmând ca utilizatorii care încă depind de SMS sau apel vocal să fie invitați să configureze un passkey la următoarea verificare multifactor (MFA).

#Impact pentru firme

Pentru o companie mică sau mijlocie din România care folosește Microsoft 365, această schimbare nu este o simplă formalitate tehnică, ci o prioritate operațională. Dacă utilizatorii tăi încă depind de un cod primit pe SMS pentru a se conecta la aplicațiile de lucru, în februarie 2027 aceștia nu se vor mai putea autentifica prin această metodă. În mediul de afaceri actual, orice întrerupere înseamnă timp pierdut și costuri directe. În plus, utilizarea exclusivă a parolelor și a SMS-urilor oferă o protecție slabă: statisticile recente arată că, odată ce un atacator obține date de autentificare valide, mecanismele clasice de securitate reușesc să oprească doar o mică parte din acțiunile lui ulterioare.

#Recomandări concrete

Așteptarea termenului-limită din 2027 nu este o opțiune recomandată, deoarece tranziția necesită timp de testare și acomodare pentru angajați. Iată ce poate face o firmă încă de acum:

1. Auditează metodele curente de autentificare folosind scriptul Entra SMS/Voice Policy Scanner pus la dispoziție de Microsoft, pentru a identifica exact ce angajați mai folosesc SMS-ul.
2. Migrează utilizatorii către passkeys, chei de securitate FIDO2 sau aplicații de autentificare rezistente la phishing înainte ca schimbarea automată să fie aplicată de platformă.
3. Colaborează cu un partener local specializat. Dacă ai nevoie de asistență pentru configurarea corectă a politicilor de securitate, echipa Activ.NET oferă servicii de administrare servere și securitate cibernetică adaptate cerințelor din mediul de afaceri.

#Concluziile noastre

Securitatea cibernetică nu mai este un lux rezervat corporațiilor mari, ci o necesitate de bază pentru orice firmă care dorește să își protejeze datele și reputația. Renunțarea la SMS-uri în favoarea unor soluții moderne și sigure, precum passkeys, reprezintă un pas firesc. La Activ.NET, recomandăm mereu clienților noștri să adopte o abordare proactivă, prevenind problemele înainte ca ele să devină incidente critice care să blocheze activitatea zilnică.

Inspirat din: BleepingComputer