Entra ID chuyển passkey thành phương thức xác thực mặc định, loại SMS/voice do nhà cung cấp
"Microsoft announced that Entra ID will make passkeys the default phishing-resistant authentication method, beginning a rollout on September 1, 2026. Microsoft-provided SMS and voice authentication will be retired on February 1, 2027, with organizations needing those methods able to use third-party telecom providers through the Microsoft Security Store; users will be prompted to register passkeys during MFA sign-in."
Tăng đáng kể khả năng chống phishing và đánh cắp thông tin nhờ chuyển sang passkeys; đồng thời giảm phụ thuộc vào các kênh SMS/voice vốn dễ bị tấn công. Điểm then chốt: passkeys mặc định, loại bỏ SMS/voice tích hợp sẵn, và bắt buộc đăng ký passkey sau 1/2/2027.
Giảm rủi ro gián đoạn do sự cố xác thực, nhưng có thể phát sinh chi phí và thay đổi vận hành khi tổ chức cần SMS/voice qua Microsoft Security Store. Điểm then chốt: tự động nhắc đăng ký passkey theo MFA, ngừng SMS/voice tích hợp từ 1/2/2027, và không có tùy chọn opt-out sau thời điểm bắt buộc.
Microsoft thông báo cập nhật bảo mật cho Microsoft Entra ID: passkey sẽ trở thành phương thức xác thực mặc định chống lừa đảo (phishing-resistant). Bắt đầu 1/9/2026, khi triển khai đến từng tenant, người dùng đang bật SMS/voice sẽ được tự động bật passkey và lần MFA tiếp theo sẽ được nhắc đăng ký passkey.
Sau giai đoạn chuyển đổi, vào 1/2/2027, Microsoft sẽ ngừng cung cấp kênh telecom SMS và voice tích hợp sẵn trong Entra ID. Nếu tổ chức vẫn cần SMS/voice, có thể chọn nhà cung cấp telecom bên thứ ba thông qua Microsoft Security Store; chi phí liên quan do đối tác telecom tính.
Microsoft khuyến nghị chuyển sang passkeys hoặc ít nhất một cơ chế không phụ thuộc bí mật dùng chung càng sớm càng tốt. Lý do là các chiến dịch lừa đảo dùng AI có thể đạt mức hiệu quả cao hơn, trong khi các kỹ thuật như SIM swapping và bypass MFA ngày càng dễ thực hiện.
Khuyến nghị kỹ thuật: rà soát người dùng đang dùng SMS/voice, lập kế hoạch rollout passkey (synced hoặc device-bound), dùng registration campaign để thúc đẩy đăng ký, và chuẩn bị truyền thông cho người dùng. Nếu bắt buộc SMS/voice, hãy chọn cấu hình telecom qua Security Store từ trước và thử nghiệm theo pilot.