Atualizado em setembro de 2026

A Microsoft iniciou uma mudança importante na estratégia de autenticação do Microsoft Entra ID.

Desde 1º de setembro de 2026, as Passkeys passaram a fazer parte da experiência padrão de autenticação para usuários que ainda estão habilitados para autenticação por SMS ou chamada de voz. O próximo grande marco acontecerá em 1º de fevereiro de 2027, quando a Microsoft descontinuará o serviço de telecomunicações fornecido por ela para autenticação por SMS e voz no Microsoft Entra ID.

Essa mudança vai muito além de substituir um método de MFA por outro.

Ela representa mais uma etapa da estratégia da Microsoft para mover as organizações de mecanismos de autenticação fracos e fatores suscetíveis a phishing para mecanismos modernos de autenticação passwordless e resistentes a phishing, como Passkeys, Windows Hello for Business e chaves de segurança FIDO2.

Neste artigo, vou explicar:

• o que efetivamente está sendo descontinuado;
• o que mudou em 1º de setembro de 2026;
• o que acontecerá em 1º de fevereiro de 2027;
• por que SMS e chamadas de voz são considerados métodos mais fracos;
• como Passkeys funcionam;
• quais tipos de Passkeys podem ser utilizados no Microsoft Entra ID;
• como identificar usuários impactados;

Resumo da mudança

Os três marcos principais são:

Há uma diferença importante entre esses eventos.

1º de setembro de 2026 não foi a data de desligamento do SMS.

Foi dado o início da habilitação automática de Passkeys para determinados usuários e da estratégia de migração conduzida pela Microsoft.

Já em 1º de fevereiro de 2027, o serviço de telecomunicações utilizado pela Microsoft para entregar códigos SMS e chamadas de voz será efetivamente descontinuado “até o momento da escrita desse post“.

O SMS será completamente removido do Microsoft Entra ID?

Não exatamente.

Esse é provavelmente o ponto mais importante dessa mudança.

A Microsoft está descontinuando a entrega de SMS e chamadas de voz fornecida pela própria Microsoft.

Isso não significa necessariamente que nenhuma organização poderá utilizar SMS depois de fevereiro de 2027.

Organizações que tenham uma necessidade:

• regulatória;
• operacional;
• de negócio;
• ou algum cenário em que métodos alternativos não sejam viáveis

poderão contratar um provedor de telecomunicações gerenciado de sua preferência para continuidade desse serviço.

Um detalhe importante que vale destacar sobre a descontinuação do SMS no Entra ID: se a sua empresa precisar manter o SMS via provedor de terceiros, a configuração ainda não está liberada. As informações dos provedores chegam em 18 de setembro de 2026, e a configuração só abre em 30 de outubro de 2026.

Link: https://learn.microsoft.com/pt-br/entra/identity/authentication/concept-phone-providershttps://learn.microsoft.com/pt-br/entra/identity/authentication/concept-phone-providers

Porém, a orientação da Microsoft é clara: Passkeys devem ser o principal caminho de migração sempre que possível.

Portanto, utilizar um provedor externo de SMS deveria ser tratado como uma exceção e não como estratégia principal de autenticação.

Por que a Microsoft está abandonando SMS e chamadas de voz?

Durante muitos anos, utilizar senha + SMS representou uma evolução significativa em relação à autenticação utilizando apenas senha.

O problema é que o cenário de ameaças também evoluiu.

Hoje, mecanismos como SMS, chamadas telefônicas e códigos OTP ainda podem ser explorados em diferentes tipos de ataques.

Entre eles:

• phishing (link);
• adversary-in-the-middle (link);
• roubo de sessão (link);
• social engineering (link);
• SIM swapping (link);
• interceptação de códigos (link);
• ataques contra processos de recuperação de conta (link).

Existe uma falsa sensação de segurança em torno do MFA tradicional. Com a evolução das ameaças cibernéticas, criminosos desenvolveram táticas sofisticadas para contornar validações por SMS e chamadas de voz. Isso nos mostra que nem todo MFA é igual, e possuir um método antigo ativado não garante resistência contra os ataques modernos.

A própria documentação do Microsoft Entra diferencia os métodos tradicionais de MFA dos métodos classificados como resistentes a phishing. A Microsoft recomenda métodos como Windows Hello for Business, Passkeys/FIDO2, chaves de segurança FIDO2 e autenticação baseada em certificados para os cenários que demandam maior proteção.

Diferenças de entre os métodos de MFA

Essa distinção merece atenção.

Imagine o seguinte fluxo:

Usuário
 │
 ├── Senha
 │
 └── Código SMS
 │
 ▼
Aplicação

Esse cenário possui dois fatores.

Entretanto, ambos podem ser facilmente explorados.

Em um ataque adversary-in-the-middle, por exemplo, o atacante pode:

1. apresentar uma página falsa de autenticação;
2. capturar a senha;
3. encaminhar a autenticação para o serviço legítimo;
4. solicitar o segundo fator;
5. capturar o código fornecido pelo usuário;
6. completar a autenticação.

A existência de MFA continua dificultando ataques, mas não elimina o problema.

É justamente aí que entram mecanismos como as Passkeys.

O que é uma Passkey?

Passkey é uma credencial de autenticação baseada em criptografia de chave pública.

Em vez de autenticar o usuário utilizando um segredo compartilhado como uma senha ou código OTP o processo utiliza um par de chaves criptográficas.

Um fluxo simplificado pode ser representado desta forma:

Usuário
    │
    ▼
Microsoft Entra ID
    │
    │ envia desafio criptográfico
    ▼
Authenticator / dispositivo
    │
    │ usuário confirma presença
    │ biometria / PIN / gesto
    │
    │ assina desafio utilizando
    │ a chave privada
    ▼
Microsoft Entra ID
    │
    │ valida com a chave pública
    ▼
Autenticação concluída

Durante a autenticação, o Microsoft Entra ID envia um desafio criptográfico.

O autenticador utiliza a chave privada para assinar esse desafio.

O Entra ID valida a assinatura utilizando a chave pública registrada anteriormente.

A chave privada não precisa ser transmitida ao Microsoft Entra ID.

Segundo a documentação da Microsoft, o processo FIDO2 utilizado pelo Entra envolve padrões como WebAuthn e CTAP.

Por que isso ajuda a impedir phishing?

Uma propriedade fundamental do FIDO2/WebAuthn é a associação da credencial ao serviço legítimo.

A credencial não funciona simplesmente porque alguém conseguiu convencer o usuário a digitá-la em outra página.

Isso elimina uma das principais características exploradas pelo phishing tradicional, convencer o usuário a entregar seu segredo ao atacante.

Com uma Passkey não existe um código OTP para o usuário copiar e entregar ao atacante.

Também não existe uma senha que precise ser transmitida durante aquele fluxo de autenticação.

É uma mudança importante no modelo de segurança.

Quais Passkeys o Microsoft Entra ID suporta?

A arquitetura atual pode ser dividida principalmente em duas categorias.

1. Passkeys sincronizadas

São credenciais armazenadas em um gerenciador de credenciais de plataforma e sincronizadas entre os dispositivos do usuário.

Exemplos incluem ecossistemas baseados em:

• iCloud Keychain;
• Google Password Manager;
• provedores de Passkey compatíveis.

A vantagem principal é a experiência do usuário.

Se o usuário possui vários dispositivos dentro daquele ecossistema, a credencial pode acompanhá-lo.

A Microsoft posiciona as Passkeys sincronizadas como uma alternativa conveniente e de baixo custo para grande parte dos usuários .

2. Passkeys vinculadas ao dispositivo (não sincronizadas)

Nesse modelo, a chave privada permanece associada a um dispositivo específico.

Exemplos incluem:

• Passkey no Microsoft Authenticator;
• Entra Passkey no Windows;
• chaves físicas de segurança FIDO2.

Esse modelo pode oferecer controles adicionais interessantes para ambientes altamente regulamentados ou identidades privilegiadas.

Considerações finais

A descontinuação do serviço de SMS e chamadas de voz pela Microsoft não é apenas um prazo de conformidade a ser cumprido, mas um reflexo direto da evolução das ameaças cibernéticas. O MFA tradicional baseado em telefonia já não oferece a proteção necessária contra ataques modernos, como AiTM (Adversary-in-the-Middle), SIM swapping e engenharia social. Hoje, a diferença entre usar um código recebido por SMS e um método resistente a phishing pode ser a linha divisória entre um ambiente seguro e um incidente grave de segurança.

Para os administradores de tenants no Microsoft Entra ID, a mensagem é clara: não espere até fevereiro de 2027.

O ideal é iniciar o planejamento agora, focando nas seguintes ações:

1. Mapeie o impacto
2. Promova a adoção de Passkeys
3. Avalie as exceções com cautela*

A transição para uma estratégia de autenticação passwordless e resistente a phishing não apenas eleva drasticamente a postura de segurança do seu ambiente, mas também reduz o atrito no dia a dia dos usuários. O futuro da identidade digital é sem senhas, e abraçar essa mudança desde já coloca a sua organização um passo à frente.

E você, como está preparando o seu tenant para essa mudança? Se tiver dúvidas sobre como planejar essa migração ou quiser compartilhar os desafios da sua organização, deixe um comentário ou entre em contato!

Referências

• Documentação oficial da Microsoft sobre a descontinuação de SMS e voz e adoção de Passkeys.
• Documentação sobre Passkeys/FIDO2 no Microsoft Entra ID.
• Guia de implantação de autenticação passwordless resistente a phishing.