Microsoft Entra ID passa a impor passkeys já em setembro de 2026

A partir de setembro de 2026, o Entra ID, o serviço de identidade empresarial da Microsoft, passa a tratar passkeys como método de autenticação por defeito. Na prática, é o começo do fim dos códigos por SMS e das chamadas automáticas para multifator, que a empresa já marcou para reforma total a 1 de fevereiro de 2027.

A mudança é automática para quem ainda usa autenticação baseada em telefone. Assim que o novo sistema chegar a cada organização, os utilizadores configurados para SMS ou voz vão ser automaticamente habilitados para passkeys e, no próximo pedido de autenticação multifator, recebem o aviso para registar uma passkey. Quem já usa métodos resistentes a phishing, como Windows Hello for Business, chaves de segurança FIDO2, cartões inteligentes ou outros fatores fortes, continua como está. O alvo desta operação são mesmo os velhos hábitos de código por SMS.

Convém sublinhar a data: a partir de 01/02/2027, a Microsoft deixa de fornecer telecomunicações para SMS e voz como capacidade nativa no Entra ID. Quem, por razões legais ou operacionais, ainda tiver de usar telefone, terá de configurar fornecedores externos através da Microsoft Security Store. Pode ser aceitável em contextos muito específicos, mas significa mais contratos, mais integrações e mais pontos potenciais de falha. Para muita empresa europeia que vive em cima do “sempre fizemos assim”, isto vai doer um bocado.

A própria Microsoft anda a puxar o tapete às desculpas: há documentação detalhada para planear e implementar autenticação sem palavra-passe e resistente a phishing, e scripts em PowerShell, como o Entra SMS/Voice Policy Scanner, para os administradores com funções de segurança localizarem rapidamente quem ainda depende de SMS ou voz. Não é só teoria. Vem na sequência de ataques reais a contas Entra com single sign-on, explorados por grupos como o ShinyHunters em campanhas de furto de dados SaaS com credenciais roubadas.

O argumento técnico é difícil de contrariar. A própria Microsoft admite ter observado campanhas de phishing com IA a atingir taxas de clique de 54 %, contra cerca de 12 % das campanhas tradicionais. Com este nível de eficácia, palavras-passe e segundos fatores “pescáveis”, como SMS, são um risco imediato, não um problema teórico a tratar quando houver orçamento. Ao tornar as passkeys o cenário por defeito, a empresa está a forçar as organizações a mexerem-se, tal como já fez noutros fronts, por exemplo quando decidiu ativar por defeito backups de definições no Windows 11 (com algumas travagens na UE).

Para quem gere TI em Portugal, isto não é uma nota de rodapé do outro lado do Atlântico. Entra ID é o pilar de identidade de muito Microsoft 365 em bancos, seguradoras, retalho e administração pública. Se em fevereiro de 2027 ainda houver operações críticas dependentes de códigos por SMS, o problema não vai ser a Microsoft. Vai ser uma organização que ignorou dois anos de aviso e preferiu a ilusão de conforto à chateação de mudar a forma como as pessoas entram no e-mail.

Fonte: BleepingComputer