Dismissione MFA SMS Entra ID Passkey: il calendario di migrazione

Dismissione MFA SMS Entra ID Passkey: cosa cambia

La migrazione dismissione MFA SMS Entra ID passkey di Microsoft sostituisce la propria consegna via SMS e chiamata vocale per l'autenticazione multifattore (MFA) con le passkey come esperienza di autenticazione predefinita. Non si tratta di una semplice deduzione da catalogo — è un cambiamento di policy di prodotto datato e pubblicato, documentato direttamente da Microsoft (Passkeys by default and retirement of Microsoft-provided SMS and voice authentication, Microsoft Learn).

Si tratta di una storia diversa, più circoscritta, rispetto al caso generale trattato in Sicurezza delle Identita Azure: Perche l'MFA da Solo Non Basta — quell'articolo sostiene che la sola presenza dell'MFA non basta di per sé; questo riguarda un canale di consegna specifico e vulnerabile al phishing (SMS/voce fornito da Microsoft) che viene disattivato a una data fissa, insieme ad altri schemi legacy deboli come il MFA fatigue / push bombing che metodi resistenti al phishing come le passkey mirano a eliminare.

Il motivo è esplicito nella FAQ ufficiale di Microsoft: i codici via SMS e voce sono vulnerabili al phishing e al SIM-swapping, e non soddisfano più il livello che Microsoft vuole come predefinito per l'autenticazione in Entra ID (FAQ for Microsoft-provided SMS and voice retirement, Microsoft Learn).

Il calendario di dismissione

La dismissione si applica solo ai tenant cloud pubblici (gli altri ambienti cloud seguono un calendario successivo, annunciato separatamente), copre sia l'SSPR sia l'MFA di accesso, e non riguarda Azure AD B2C. Microsoft Entra External ID è interessato con un calendario separato e successivo, il cui annuncio deve ancora arrivare.

Esiste un opt-out temporaneo per la finestra di auto-iscrizione (1° settembre 2026 → 1° febbraio 2027) — non per l'enforcement del 1° febbraio in sé — tramite la proprietà passkeyDynamicMigration nella authentication methods policy del tenant:

PATCH https://graph.microsoft.com/beta/policies/authenticationmethodspolicy
{
   "optOutSettings": {
     "passkeyDynamicMigration": true
   }
}

Rilevamento: chi nel tuo tenant è ancora esposto

Prima che questo venga distribuito automaticamente sul tuo tenant, scopri quanti utenti dipendono ancora davvero da SMS o voce forniti da Microsoft — e se le tue impostazioni attuali di Conditional Access e di Registration Campaign interagiranno correttamente con i cambiamenti di Microsoft del 1° settembre. Se non hai rivisto di recente la tua baseline di Conditional Access, consulta prima Lacune accesso condizionale Entra ID: quali errori lasciano una reale esposizione.

Remediation

1. Inventaria prima gli utenti esposti. Usa lo script PowerShell ufficiale per elencare ogni account ancora abilitato per, o che usa, SMS/voce. Qualsiasi risultato diverso da zero significa che il tenant è nell'ambito.
2. Migra gli utenti verso le passkey in modo proattivo, secondo i tuoi tempi. Abilita Passkey (FIDO2) come metodo di autenticazione, inserisci la tua popolazione SMS/voce in un gruppo di Authentication Methods Policy abilitato per le passkey, e attiva tu stesso una Registration Campaign (Centro Amministrazione Entra → Authentication methods → Registration campaign → State: Microsoft Managed, mirata al tuo gruppo di sicurezza SMS/voce) — è lo stesso meccanismo che Microsoft applicherà automaticamente il 1° settembre 2026, ma tu controlli i messaggi e i tempi.
3. Se un segmento ha una reale necessità di conformità o operativa per SMS/voce, documenta ora la normativa o lo scenario specifico, poi valuta un provider telecom gestito dal cliente tramite il Microsoft Security Store dal 18 settembre 2026, e configuralo dal 30 ottobre 2026 — prima della scadenza del 1° febbraio 2027.
4. Usa l'opt-out passkeyDynamicMigration solo come ponte, non come piano a lungo termine. Ritarda l'auto-iscrizione e la spinta della Registration Campaign mentre completi il lavoro di migrazione; non ritarda né esenta dall'enforcement del 1° febbraio 2027.
5. Comunica per tempo. Microsoft raccomanda un piano di comunicazione a fasi consapevolezza → azione → promemoria e pubblica modelli per gli utenti finali per il passaggio alle passkey — indirizza la comunicazione al gruppo di sicurezza costruito al punto 1, così che gli utenti giusti ne sentano parlare prima che parta il promemoria.
6. Ricontrolla il Conditional Access. Un tenant che già blocca l'autenticazione legacy e applica l'MFA in modo ampio a tutti gli utenti, non solo agli admin, assorbe questo cambiamento con molta meno interruzione rispetto a uno che si affida a SMS/voce come fallback silenzioso. Per una panoramica completa, vedi Come auditare la sicurezza di Microsoft Entra ID (Azure AD): guida pratica.

Come lo rileva EtcSec

L'audit Azure/Entra di EtcSec segnala i tenant ancora esposti a questa dismissione prima che diventi una migrazione forzata. AUTH_METHODS_SMS_ENABLED segnala quando l'SMS è abilitato come metodo di autenticazione, senza altre condizioni; MFA_PHONE_ONLY segnala gli account in cui i metodi basati su telefono (SMS, voce) sono l'unica opzione MFA registrata — esattamente la popolazione che riceverà il prompt bloccante della passkey il 1° febbraio 2027. MFA_NO_PASSWORDLESS e MFA_NO_FIDO2 segnalano i tenant che non hanno abilitato affatto metodi passwordless o FIDO2/passkey, che è il gap prerequisito da colmare prima di poter avviare qualsiasi migrazione proattiva.