Microsoftは2027年2月1日をもって、世界中のMicrosoft Entra IDワークフォーステナントにおけるSMS第一要素サインインを廃止します。これに伴い、管理者は対象アカウントをパスキーまたはフィッシング耐性のある認証方式へ移行する必要があります。
この変更により、電話番号とSMSワンタイムパスコードのみに依存しているアカウントは、Entraで保護されたアプリケーションへのアクセスが中断される可能性があります。
社内ではSignInNoPasswordと呼ばれるSMS第一要素サインインは、ユーザー名とパスワードの代わりに登録済みの電話番号を入力する仕組みです。Entra IDはSMSで6桁のコードを送信し、これによって第一要素の認証イベントを完了させます。
Microsoftがこの機能を廃止する理由は、電話番号ベースのコードがフィッシングに悪用されやすいことに加え、ソーシャルエンジニアリング、SIMスワッピング、番号の再割り当てにも弱いためです。
2027年2月1日以降、Entra IDは電話番号とコードによる認証を第一要素のサインイン方法としてブロックします。既存のSMS設定はもはや有効とみなされず、Microsoftは管理画面から関連する設定項目を削除します。
別の認証方式を保有しているユーザーは引き続きサインインできますが、SMS第一要素認証のみに依存しているアカウントはロックアウトのリスクにさらされます。この廃止措置は、世界各国およびUS Government Community CloudテナントにおけるEntra IDのワークフォース認証を対象としています。
なお、Azure AD B2Cや、カスタマーID向けのMicrosoft Entra External IDのシナリオは対象外です。Microsoftはこれまでに、Entra ID FreeテナントにおけるSMS第一要素サインインを既に終了しており、新規テナントでの有効化も停止しています。
フィッシングページはSMSコードを窃取し、標的のサービスへ中継することが可能です。一方パスキーは、FIDOベースでオリジンに紐づいた公開鍵暗号方式を採用しています。秘密鍵はユーザーのデバイス内に留まり、認証は登録先のサービスに紐付けられます。
そのため、コードを傍受されたとしても、攻撃者が単純にそれをリプレイすることはできません。Microsoftが推奨する主な移行先は、パスキー、Windows Hello for Business、およびFIDO2セキュリティキーです。
QRコード認証は、QRコードとPINを組み合わせて管理する方式で、フロントラインワーカーや共有デバイスを使う展開先での選択肢となります。ロールアウト前には、デバイスおよびブラウザのサポート状況や条件付きアクセスの認証強度について、試験的に導入することが推奨されます。
この期限は、単なる定例のポリシー更新ではなく、IDの移行作業として捉えるべきです。まずはサインインログ、認証方法レポート、ポリシーの割り当て、フロントラインワーカーグループを活用し、SMSに依存しているアカウントを洗い出した上で、各ユーザーに代替の認証手段があるかどうかを確認してください。
また、共有デバイスを使用しているユーザー群、業務用スマートフォンを持たない従業員、電話番号に紐づくリカバリー手順、SMSサインインを前提とした条件付きアクセスのフローについても見直しが必要です。
次に、段階的な登録キャンペーンを実施し、代表的なユーザーを対象にパスキーまたはFIDO2キーの試験導入を行ってください。登録ガイダンス、ヘルプデスクの対応手順、緊急時対応プロセス(break-glassプロセス)、ユーザー向けの案内文も更新する必要があります。
Choose Your Own Telephony Providerを利用している組織は、多要素認証がサポートされる一部のケースにおいて引き続きSMSまたは音声通話を利用できますが、これによってSMSが第一要素の選択肢として維持されるわけではありません。
2027年2月より十分前に移行を完了させることで、避けられるはずのロックアウトを防ぎつつ、ワークフォースのID境界からリプレイ可能な認証シークレットを排除できます。
16,000以上のSOCチームがANY.RUNを活用し、脅威調査の効率化と手作業の削減を実現しています。貴チームでも導入を検討する
翻訳元: https://cyberpress.org/microsoft-entra-id-retires-sms-first-factor-authentication/
