A Microsoft está alterando o método de MFA que você usa (e ela tem razão)
agosto 11, 2026

A Microsoft está alterando o método de MFA que você usa (e ela tem razão)

0

Hoje eu trouxe para vocês o artigo “A Microsoft está matando o método de MFA que todo mundo usa (e ela tem razão)”. Acesse o site da Uni Academy (https://uniacademy.com.br/) e conheça todos os meus cursos. Não esqueça de me seguir no Instagram, conhecer meu Site, se inscrever no meu Canal do Youtube, deixar o seu like e compartilhar esse artigo, para fortalecermos a nossa comunidade. Um grande abraço e boa leitura.

 

A Microsoft está alterando o método de MFA que você usa (e ela tem razão)

Passkeys viram o padrão no Entra ID em 1º de setembro de 2026 e o SMS será aposentado em fevereiro de 2027

O código de seis dígitos que chega por SMS é, provavelmente, o segundo fator mais usado do planeta. É o que sua empresa configurou lá atrás porque “todo mundo tem celular”. É o que o usuário entende sem treinamento. É o que sempre funcionou. E a Microsoft acaba de assinar o atestado de óbito dele.

A partir de 1º de setembro de 2026, a Microsoft começa a implantar passkeys como a experiência de autenticação padrão no Microsoft Entra ID. Conforme o rollout chega a cada organização, usuários habilitados para SMS ou voz serão automaticamente habilitados para passkeys e, no próximo MFA, receberão o prompt para registrar uma. Depois dessa transição, em 1º de fevereiro de 2027, a Microsoft aposenta a entrega de SMS e voz fornecida por ela e deixa de oferecer esses métodos como capacidade nativa do Entra ID.

A reação natural de quem administra tenant é reclamar. Mais uma mudança forçada, mais um projeto no meio do ano, mais chamado no service desk.

Eu discordo. Essa é uma das melhores decisões técnicas que a Microsoft tomou em identidade nos últimos anos — e neste artigo eu explico por quê.

 

Por que a Microsoft tem razão

O SMS nunca foi um bom método. Ele era só um método conveniente.

Existe uma diferença enorme entre essas duas coisas, e a indústria passou uma década fingindo que não.

Um código enviado por SMS pode ser interceptado no trânsito, capturado por um site de phishing que apenas repassa o código em tempo real para o site legítimo, obtido por SIM swap junto à operadora, ou simplesmente lido na tela de bloqueio do celular. Nenhum desses ataques é teórico — todos são rotina em campanhas contra empresas brasileiras.

O problema estrutural é que o SMS transforma o segundo fator em mais um segredo que o usuário digita. E qualquer coisa que o usuário digita, o usuário pode ser convencido a digitar no lugar errado.

Uma passkey quebra essa lógica. Ela é uma credencial FIDO2/WebAuthn: a chave privada fica no dispositivo, nunca trafega pela rede e está criptograficamente vinculada ao domínio legítimo. O usuário se autentica com biometria ou PIN local. Se ele cair num site falso, a passkey simplesmente não funciona — não porque o usuário foi esperto, mas porque o protocolo não permite. A segurança deixa de depender do discernimento de quem está com pressa às 8h da manhã.

 

O contexto de IA acelerou tudo

A motivação declarada não é só arrumar a casa: conforme as organizações avançam mais fortemente na adoção de IA, credenciais suscetíveis a phishing se tornam um passivo maior, e a Microsoft quer que a segurança resistente a phishing seja o padrão — não algo que o administrador precise habilitar por opção.

Isso merece ser lido com atenção. Ferramentas de IA generativa baixaram drasticamente o custo de produzir campanhas de phishing convincentes, em português correto, personalizadas por cargo e empresa. O treinamento de conscientização continua importante, mas apostar a segurança do tenant na capacidade do usuário de identificar um e-mail falso deixou de ser uma estratégia defensável.

 

A única forma de matar um método ruim é remover a opção

Aqui está o ponto que separa essa decisão das anteriores. A Microsoft vem recomendando métodos resistentes a phishing há anos. Recomendação não muda nada em escala — porque o SMS continua sendo o caminho de menor atrito, e o caminho de menor atrito sempre vence.

Ao eliminar o método mais fraco de MFA, a Microsoft parte da avaliação de que as passkeys já se tornaram suficientemente conhecidas e aceitas na comunidade Entra, com forte atenção desde a conferência Ignite de 2025.

É a mesma lógica que aposentou o TLS 1.0 e o SMB v1: enquanto existe fallback, ninguém migra. A Microsoft está removendo o fallback. É desconfortável e é correto.

Dito isso — ter razão no mérito não significa que a execução será indolor no seu tenant. Vamos ao que importa operacionalmente.

 

O cronograma exato

A partir de 1º de setembro, qualquer usuário habilitado para SMS ou voz fornecidos pela Microsoft é auto-inscrito para passkeys, e a Registration Campaign muda para o estado gerenciado pela Microsoft, incentivando o registro no próximo sign-in com MFA. O usuário pode adiar o prompt — com adiamentos ilimitados — a menos que o administrador desative essa possibilidade. Em 18 de setembro, a Microsoft abre os detalhes sobre provedores de telecom gerenciados pelo cliente na Microsoft Security Store. A configuração desses provedores pelos administradores começa em 30 de outubro de 2026.

Detalhe de planejamento: esse cronograma vale apenas para tenants comerciais comuns. Ambientes GCC, GCC High e DoD seguirão depois, em calendário próprio.

 

A pegadinha que vai pegar muita gente

O critério de escopo é estar habilitadopara o método na Authentication Methods Policy — ou nas configurações legadas de MFA — e não simplesmente ter um número de telefone registrado. Se a política de SMS está direcionada a “All users” no seu tenant, você está no escopo, mesmo que apenas um punhado de pessoas realmente use o método.

Ou seja: aquele tenant onde ninguém usa SMS há dois anos, mas a política nunca foi revisada, também será afetado em 1º de setembro. É o cenário clássico de configuração herdada que ninguém mexeu porque “está funcionando”.

Quem já está tranquilo: usuários que já se autenticam com passkeys, Windows Hello for Business ou outro método resistente a phishing continuam usando esses métodos normalmente — nada muda para eles. Mas, se ainda estiverem no escopo da política de SMS ou voz, ainda assim podem receber o prompt de registro.

Após a data de corte, usuários cujo único método de MFA disponível seja SMS ou voz serão obrigados a registrar uma passkey durante o sign-in para continuar acessando a conta.

Uma fatia da sua base vai encontrar uma tela obrigatória de registro em um momento que você não escolheu, provavelmente numa segunda-feira, provavelmente sem fazer ideia do que é uma passkey. O volume de chamados é totalmente previsível — e por isso mesmo, totalmente evitável.

A pergunta não é se seus usuários vão migrar. É se eles vão migrar no seu cronograma ou no da Microsoft.

 

“Mas a gente precisa de SMS por compliance”

Existe saída — com custo e trabalho. Organizações que realmente precisarem de SMS ou voz, por exigência de conformidade, terão que optar por um parceiro de telecom terceiro e arcar com os custos associados. Tenants que não configurarem um provedor e seguirem dependendo da telefonia da Microsoft enfrentarão interrupções após a aposentadoria. A orientação é concluir a configuração pelo menos quatro semanas antes de 1º de fevereiro, para permitir testes e uma transição cautelosa.

Minha opinião, e aqui é opinião mesmo: para a esmagadora maioria das empresas brasileiras, contratar e pagar um provedor de telecom para manter viva a pior forma de MFA disponível é a decisão errada. Esse caminho só se justifica em cenários regulatórios muito específicos, ou para populações de usuários genuinamente sem dispositivo compatível — operadores de chão de fábrica, por exemplo. Para o resto, “compliance exige SMS” quase sempre significa “a política interna foi escrita em 2019 e ninguém revisou”.

 

Perguntas frequentes

Quando o SMS para de funcionar de vez no Entra ID? Em 1º de fevereiro de 2027, quando a Microsoft aposenta a entrega própria de SMS e voz. Antes disso, em 1º de setembro de 2026, passkeys já se tornam o padrão e o incentivo ao registro começa.

O usuário pode pular o prompt de registro?Sim, no início. Por padrão, os usuários terão adiamentos ilimitados do prompt. Mas quem tiver SMS ou voz como único método acabará diante de um prompt depois da aposentadoria.

Windows Hello for Business e chaves FIDO2 continuam valendo? Sim. Quem já usa métodos resistentes a phishing não sofre impacto prático.

Passkey gera custo adicional de licença?Não. As passkeys oferecem segurança mais forte e resistente a phishing sem custo extra. O custo aparece justamente no caminho contrário: manter SMS via provedor terceiro.

O Microsoft Authenticator ainda serve? Sim — e ele pode armazenar passkeys, o que costuma ser a rota de migração mais suave para quem já tem o app implantado na empresa.

E se o usuário perder o celular com a passkey? Por isso o piloto importa: você precisa definir o processo de recuperação antes de escalar. Registrar mais de um método resistente a phishing por usuário — passkey no celular e chave FIDO2 física, por exemplo — é a prática recomendada para contas privilegiadas.

Tenants GCC, GCC High e DoD seguem o mesmo prazo? Não. Esses ambientes terão cronograma próprio, divulgado separadamente.

 

Fontes oficiais

A Microsoft está retirando das nossas mãos uma muleta que a indústria inteira sabia ser frágil e mantinha por conveniência. Vai doer em alguns tenants, vai gerar chamado, vai exigir projeto. Ainda assim, é a decisão certa — e o profissional de TI que entender isso agora vai conduzir a migração como um projeto planejado, com piloto, comunicação e métricas.

 

Acesso Black!

Todos os meus Cursos em um único lugar.

Clique AQUI e se torne um aluno Black.

 

Cursos preparatórios para Certificações

Escolha umas das certificações a seguir e seja aprovado em até 4 semanas:

 

Cursos de Especialização

Clique AQUI e garanta a sua Vaga!

Microsoft 365: as principais notícias da semana (14–17 de julho de 2026)
Previews Post