EntraのSMS・音声認証、2027年2月に終了 パスキーへ移すか外部の電話事業者に

Microsoftは、Entra ID(旧Azure AD)が自前で送るSMSと音声の認証を、2027年2月1日から順に終えます。代わりに、フィッシングに強いパスキーを標準の手段にする方針です。多要素認証をSMSや電話に頼っている会社では、そのままにすると、社員がサインインの途中で止められます。続けたい場合は、2026年10月30日から選べる外部の電話事業者を使う必要があります。

日程

Microsoftは、AIを広く使う時代に、だまし取れる認証から、フィッシングに強い認証に移す必要があるとしています。SMSと音声は、もう安全な認証の手段とは位置づけず、Entra IDが自前では出さなくなります。すでにパスキー、Windows Hello for Business、そのほかのフィッシングに強い手段でサインインしている利用者は、そのまま使えます。

SMSや音声を続けるなら、外部の電話事業者

Microsoftは10月21日、外部の電話事業者を使ってSMSと音声の認証を続ける仕組み「Choose Your Own Telephony(CYOT)」を、10月30日から使えるようにすると告知しました。

• 事業者は、Microsoft Security Storeで選ぶ。最初はSopranoとTelesign(利用者ごと・送信ごとなどの料金)で、一般提供までに増える予定
• 事業者との契約は、会社が直接結ぶ。地域の対応、契約、Entra IDへの設定、見張りは会社の責任
• Entra IDは、これまでどおり認証の方針を守らせ、サインインの流れをまとめる
• 費用は、事業者の料金と、Azureの仕組みの料金がかかる(Microsoftは見積もりの道具を公開している)

Microsoftは、電話の認証は、業務・規制・技術の理由がはっきりある人にだけ使い、それ以外はパスキーに移すよう勧めています。

影響する会社・しない会社

• 影響する: Microsoft 365やEntra IDの多要素認証で、SMSのコードや音声の電話を使っている社員がいる会社です。手段がSMSか音声だけの人は、2027年2月1日の後にサインインで止められます。
• 影響する: 社外の取引先をゲストとして招き、SMSで多要素認証をさせている会社です。社外の利用者は2027年7月1日、社内のゲストは2月1日です。
• 影響する: スマートフォンを持たない社員や、工場・店舗の共用の端末など、SMSや電話に頼ってきた人がいる会社です。パスキーのセキュリティキーなど、別の手段を用意する必要があります。
• 影響しない(少ない): すでに全員がMicrosoft Authenticatorの通知やパスキー、Windows Hello for Business、FIDO2のセキュリティキーを使い、SMSと音声を手段から外している会社です。

情シスが今日やること

1. SMSと音声を使っている人を数える。 Microsoftは、SMSや音声が有効な利用者を見つけるPowerShellの台本を公開しています(グローバル閲覧者、認証ポリシー管理者、セキュリティ閲覧者のどれかが必要)。手段がSMSか音声だけの人を、部署・社外のゲスト・全体管理者に分けて一覧にします。
2. 全体管理者を先に移す。 全体管理者の期限は7月1日ですが、乗っ取られたときの被害が最も大きいため、先にパスキーやFIDO2のセキュリティキーに移します(当社の見立て)。
3. パスキーへの移し方を決める。 社員のスマートフォンに保存する同期のパスキー、端末に結びつくパスキー、セキュリティキーのどれを使うかを決め、配る手順と、なくしたときの再登録の手順を用意します。
4. 社員に知らせる。 2026年9月からすでに、サインインのときにパスキーの登録が促されています。「パスキーの登録の画面は本物か」という問い合わせに備え、正しい画面の見分け方と、パスキーを装うフィッシングへの注意を、あわせて知らせます(「パスキーを更新して」はわな ヘルプデスクを装いTeamsやSMSで誘導)。
5. 電話の認証を残す人を決める。 どうしてもSMSや音声が要る人(規制や端末の事情など)がいる場合は、10月30日からの外部の電話事業者を検討します。調達・個人情報・規制の確認と、費用の見積もりを、2027年2月より前に済ませます。
6. 社外のゲストの扱いを決める。 取引先のゲストに、どの手段で多要素認証をさせるかを決め、2027年7月までに相手に知らせます。社内のゲストは2月1日なので、取り違えに注意します。