A Microsoft está em uma cruzada contra o uso de SMS como forma de login. O movimento mais recente da companhia sobre o assunto é um e-mail enviado a administradores de TI que orienta que esse método deixe de ser usado na autenticação de usuário para prevenir ataques e afins. Em seu lugar, a Microsoft recomenda o uso de passkeys.

É muito comum que mensagens de SMS sejam enviadas a usuários para fornecimento de códigos de autenticação em dois passos, para recuperação de senhas ou até como modo direto de acesso.

Mas essa abordagem não tem sido recomendada por especialistas em segurança porque, como o conteúdo do SMS é transmitido em texto simples, o código pode ser capturado facilmente se a mensagem for interceptada de algum modo.

Essa interceptação pode ser feita via malware ou por meio de técnicas de engenharia social que induzem o usuário a fornecer o código a um invasor, por exemplo. Nesse sentido, a Microsoft alerta que há mais um agravante: o advento da inteligência artificial.

No e-mail enviado a administradores, do qual o Windows Latest teve acesso, a companhia alerta que “a era da IA exige uma autenticação mais forte e resistente a phishing”.

A IA não criou, necessariamente, novas ações maliciosas. O problema reside no fato de que a IA tornou os métodos de ataque já existentes muito mais sofisticados e eficazes. É o caso de invasores que criam páginas falsas em nome de organizações muito rapidamente usando mecanismos de IA generativa, só para dar um exemplo.

Microsoft incentiva uso de passkey

Na tal mensagem, a Microsoft afirma que, a partir de 1° de fevereiro de 2027, não irá mais permitir autenticação por SMS no Entra ID, seu serviço de gerenciamento de identidade e acesso baseado em nuvem (e outrora chamado de Azure Active Directory).

Em seu lugar, a Microsoft recomenda o registro de passkey (chave de acesso), um mecanismo considerado mais seguro por usar recursos de autenticação do próprio dispositivo do usuário (como impressão digital, reconhecimento facial ou digitação de PIN) para validar a sua identidade.

Para tanto, a Microsoft passará a notificar as organizações que usam SMS ou voz para autenticação no Entra ID para que ativem as passkeys a partir de 1° de setembro de 2026.

Mas não são só organizações que estão no radar da Microsoft. A companhia também já se movimenta para abandonar o SMS na autenticação ou recuperação de contas Microsoft direcionada a usuários domésticos.

Microsoft está em uma cruzada contra o uso de SMS para login