Adeus, SMS: Microsoft decreta a era das passkeys no Entra ID

Segundo o BoletimSec, a Microsoft anunciou que a partir de 1º de setembro de 2026 as passkeys se tornarão o método de autenticação padrão no Entra ID, empurrando para escanteio velhos conhecidos como SMS e chamadas de voz. Usuários que hoje dependem desses códigos recebidos por mensagem de texto serão automaticamente migrados para o suporte a passkeys. Parece um detalhe técnico, mas não é. É uma mudança de postura de uma das maiores fornecedoras de identidade digital do mundo corporativo.

Quem trabalha com TI há alguns anos sabe que o SMS como segundo fator de autenticação nunca foi exatamente uma fortaleza. Ele resolveu um problema real na época em que surgiu, mas o cenário de ameaças mudou muito desde então. Ataques de SIM swap, interceptação de mensagens e engenharia social miram justamente esse elo mais fraco. A Microsoft está, na prática, reconhecendo que manter esse método como padrão é like deixar a porta dos fundos aberta enquanto se reforça a fechadura da frente.

Por que as passkeys mudam o jogo da segurança corporativa

As passkeys funcionam de um jeito bem diferente do modelo tradicional de senha mais código. Elas usam criptografia de chave pública, atrelada a um dispositivo físico do usuário, como celular ou chave de segurança. Isso elimina boa parte da superfície de ataque que o phishing explora há anos, porque não existe mais um código que possa ser roubado ou repassado por engano em um site falso.

Para quem administra a infraestrutura de uma pequena ou média empresa, isso representa uma redução real de risco. Menos chamados de suporte relacionados a contas comprometidas, menos tempo gasto investigando incidentes de phishing bem sucedido e menos dor de cabeça explicando ao dono do negócio por que um funcionário caiu num golpe.

O que muda na prática para o time de TI

Na rotina de quem cuida da segurança da informação, essa transição do Entra ID exige atenção redobrada em alguns pontos:

• Mapear quais usuários ainda dependem de SMS ou voz como método principal
• Planejar a comunicação interna para evitar resistência da equipe
• Testar a compatibilidade das passkeys com os dispositivos já usados na empresa
• Revisar políticas de acesso condicional que hoje consideram SMS como fator válido

Empresas que já contam com processos otimizados de gestão de identidade tendem a sentir menos impacto nessa migração. Já organizações que ainda operam com políticas improvisadas de