Microsoftは2026年9月1日より、Entra IDにおいてパスキーを標準の認証方式とする一方、2027年2月1日にはSMSおよび音声によるネイティブ多要素認証(MFA)の提供を廃止します。
この動きは、企業がクラウドとAIの導入を拡大する中で、フィッシングに悪用されやすい認証情報を排除しようとする大きな流れを反映したものです。
新方針の下では、SMSまたは音声認証が有効になっているユーザーを抱えるEntraテナントにおいて、それらのユーザーは認証方法ポリシー(Authentication Methods Policy)でパスキーが自動的に有効化されます。
その後MFAが必要なサインイン時に、対象ユーザーはパスキーの登録を求められます。Microsoftは登録キャンペーンを「Microsoft管理」状態に設定し、対象ユーザーを自動的にターゲティングします。
同社はパスキーについて、パスワードやSMSのワンタイムコードのような共有シークレットではなく、暗号鍵ペアに基づくフィッシング耐性の高い認証情報だと説明しています。
パスキーは、認証情報フィッシングを含む一般的なアカウント乗っ取り手法やSIMスワッピング、リプレイ攻撃への耐性を持つよう設計されています。Entra IDは同期型とデバイス固定型の両方のパスキーに対応しています。
同期型パスキーはiCloudキーチェーンやGoogleパスワードマネージャーといった認証情報管理ツールに保存され、ユーザーの複数デバイス間で同期できます。
デバイス固定型パスキーは、Windows Hello for Business、Microsoft Authenticator、Windows上のEntraパスキー、FIDO2ハードウェアセキュリティキーなど、特定のプラットフォームや認証システムに紐づいたままとなります。
Microsoftが提供するSMSおよび音声サービスは、2027年2月1日をもって完全に廃止されます。それ以降も通信キャリア経由のMFAが必要な組織は、Microsoft Security Store経由で利用できる顧客管理型プロバイダーを使用する必要があります。
Microsoftは2026年9月18日からプロバイダー情報の公開を開始し、2026年10月30日から顧客による選択・設定を可能にする予定です。
移行を先送りする組織には、運用上の影響が及びます。SMSまたは音声認証のみに依存しているユーザーは、2027年2月1日以降、パスキー登録を求めるブロッキング型プロンプトに直面することになります。
これらのユーザーは、アカウントへのアクセスを続けるためにパスキーを登録する必要があります。Microsoftは、この強制措置がすべてのテナントに適用され、オプトアウトの選択肢はないとしています。
管理者はまず、Entraの認証方法ポリシーまたは従来のMFA設定において、依然としてSMSや音声が有効になっているユーザーを特定する必要があります。
Microsoftはこの目的のためにPowerShellベースの利用状況分析ツールを公開しており、これにはGlobal Reader、Authentication Policy Administrator、またはSecurity Readerのいずれかの権限が必要です。組織には段階的な展開の採用が推奨されています。
これにはFIDO2パスキーの有効化、対象ユーザー向けのセキュリティグループの作成、登録キャンペーンの開始、そして的を絞った周知の実施が含まれます。
ユーザーは当初、登録プロンプトを無期限にスヌーズできてしまうため、組織は技術的な設定に加え、明確な期限とエンドユーザー向けのガイダンスを組み合わせて提供する必要があります。
Microsoftは、2026年9月1日から2027年2月1日までの間、パスキーの自動有効化と登録キャンペーンを一時的に延期する仕組みも用意しています。
Microsoft Graph betaを使用し、Policy.ReadWrite.AuthenticationMethod権限を持つ管理者は、passkeyDynamicMigrationのオプトアウトプロパティをtrueに設定できます。
ただし、この延期はSMS・音声認証の廃止期限そのものを延ばすものではありません。規制上または運用上の理由でアウトオブバンドの通信チャネルが必要な企業は、2027年2月までに顧客管理型プロバイダーを評価・導入しなければなりません。
とはいえ大半のユーザーにとって、Microsoftが推奨する道筋は、SMSや音声によるアクセスがサインインの支障になる前に、パスキーやWindows Hello、その他のフィッシング耐性のある認証方式へ移行することです。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に。フィッシングの完全な可視化でSOCを強化し、MTTRを削減しましょう
翻訳元: https://cyberpress.org/microsoft-entra-id-to-retire-sms-voice-mfa/