В сообщении Microsoft 365 Message Center MC1528000 компания напомнила: с 1 февраля 2027 года SMS и голосовые звонки перестанут быть встроенным методом аутентификации Microsoft Entra ID. Microsoft прекратит доставку кодов, и пройти MFA этими способами будет нельзя.
Кого касается
Только аутентификации в рабочих (workforce) тенантах Entra ID. Сценарии Azure AD B2C и Microsoft Entra External ID для клиентских identity не затронуты.
Что уже изменилось
- В августе SMS как первый фактор входа отключили для тенантов Entra ID Free, и для новых тенантов он больше не включается.
- С сентября passkeys стали методом по умолчанию. Пользователям с SMS или голосом passkeys включаются автоматически, и при следующем MFA-входе им предложат его зарегистрировать.
Что делать администраторам
- Найти пользователей, которые всё ещё зависят от SMS или голоса, PowerShell-скриптом Entra SMS/Voice Policy Scanner (нужна роль Authentication Policy Administrator, Global Reader или Security Reader).
- Перевести их на устойчивые к фишингу методы: passkeys (рекомендация Microsoft), FIDO2-ключи, вход по QR-коду или другой поддерживаемый метод.
- Если телефонная аутентификация обязательна, подключить собственного телеком-провайдера (CYOT) через Microsoft Security Store.
- Закончить миграцию до начала раскатки, иначе пользователи столкнутся с отказами во входе.
Отдельно проверьте сервисные и «забытые» учётки, у которых телефон — единственный второй фактор: они сломаются первыми.
In Microsoft 365 Message Center post MC1528000, Microsoft reminded admins that starting February 1, 2027, SMS and voice calls will no longer be a native authentication method in Microsoft Entra ID. Microsoft will stop delivering codes, and MFA via those channels will fail.
Scope
Only Entra ID workforce tenant authentication. Azure AD B2C and Microsoft Entra External ID customer identity scenarios are not affected.
What has already changed
- In August, SMS as a first sign-in factor was retired for Entra ID Free tenants and is no longer enabled for new tenants.
- Since September, passkeys are the default experience. Users enabled for SMS or voice get passkeys enabled automatically and are prompted to register one at their next MFA sign-in.
What admins should do
- Find users still relying on SMS or voice with the Entra SMS/Voice Policy Scanner PowerShell script (requires Authentication Policy Administrator, Global Reader or Security Reader).
- Move them to phishing-resistant methods: passkeys (Microsoft’s recommendation), FIDO2 keys, QR code sign-in or another supported method.
- If phone-based authentication is required, configure your own telecom provider (CYOT) through the Microsoft Security Store.
- Finish the migration before the rollout begins, or users will hit sign-in failures.
Also check service and forgotten accounts whose only second factor is a phone: they’ll break first.