El MFA por SMS se retira: pasa a passkeys en Microsoft Entra

El teléfono de Maya vibra con un código de seis dígitos. Lo escribe y ya está dentro. Ese código viajó por la red telefónica para llegar a ella, y cualquiera que pueda meterse en ese camino, o convencer a su operador de pasar su número a otra SIM, también lo recibe.

El 1 de febrero de 2027, la verificación por mensaje de texto y llamada de voz que entrega Microsoft se retira en Microsoft Entra ID, y las passkeys ocupan su lugar. Aquí va qué cambia y cuándo, por qué las passkeys son el reemplazo y los cinco pasos que recorrimos en un tenant de laboratorio.

Qué cambia, y cuándo

• 1 de septiembre de 2026: las passkeys pasaron a ser el método predeterminado. Los usuarios habilitados para verificación por mensaje de texto o voz quedaron habilitados también para passkeys de forma automática. La próxima vez que completan la autenticación multifactor, se les pide configurar una passkey. Por ahora pueden posponer el aviso, y de forma predeterminada pueden posponerlo sin límite.
• 30 de octubre de 2026: tu propio proveedor de telefonía. Las organizaciones que necesitan seguir usando mensajes de texto o llamadas pueden configurar su propio proveedor a través de Microsoft Security Store.
• 1 de febrero de 2027: Microsoft deja de entregar esos mensajes y llamadas. Los usuarios cuyo único método multifactor es texto o voz verán un aviso que no se puede saltar: registrar una passkey o no entrar. No hay forma de excluirse.

Los administradores globales y los usuarios externos tienen más tiempo y pasan el 1 de julio de 2027. Los invitados internos siguen la fecha de febrero. Este calendario es para la nube pública, y Azure AD B2C no se ve afectado.

Por qué los códigos por texto y voz son débiles

Un código enviado por texto o voz se puede robar sin tocar tu teléfono:

• Phishing: Maya hace clic en un enlace de un correo y llega a una página idéntica a su página de inicio de sesión. Escribe su contraseña y luego el código de su teléfono. La página falsa pasa ambos a la real en tiempo real, y el atacante entra.
• SIM swap: el atacante llama al operador de Maya, se hace pasar por ella y consigue que pasen su número a una SIM nueva. Ahora los códigos le llegan a él.
• Reutilización: el código son solo seis dígitos, así que cualquier cosa que pueda leerlo, por el camino o en una pantalla, puede reutilizarlo antes de que caduque.

La propia guía de Microsoft lo dice claramente: hay que dejar los mensajes de texto y las llamadas de voz para la autenticación multifactor.

Qué es realmente una passkey

Una passkey no es un código. Es un par de claves que van juntas:

1. Cuando Maya crea una passkey, su dispositivo genera dos claves. La clave privada se queda con ella, protegida por su cara, su huella o su PIN. La clave pública va a Microsoft Entra ID.
2. Cuando inicia sesión, Entra envía un desafío. Su dispositivo le pide desbloquearlo, firma el desafío con la clave privada y devuelve la respuesta.
3. Entra comprueba la respuesta con la clave pública. La clave privada nunca se envía.

Ahora, otra vez la página de phishing. La passkey se creó para la dirección real de inicio de sesión de Microsoft. La página falsa tiene otra dirección, así que el dispositivo de Maya no tiene nada que ofrecerle, y sin código que escribir no hay nada que robar. Por eso las passkeys se llaman resistentes al phishing. Se basan en los estándares FIDO2 y funcionan por sí solas como autenticación multifactor: algo que tienes (el dispositivo) más algo que eres o sabes (tu cara o tu PIN).

Passkeys vinculadas al dispositivo vs sincronizadas

• Las passkeys vinculadas al dispositivo (device-bound) nunca salen del dispositivo que las creó. Microsoft Authenticator en iPhone y Android guarda las passkeys así, y también las llaves de seguridad FIDO2, las pequeñas llaves USB o NFC.
• Las passkeys sincronizadas (synced) las respalda un proveedor de passkeys, como Contraseñas de Apple con el llavero de iCloud o el Gestor de contraseñas de Google, y aparecen en los otros dispositivos del usuario. Microsoft Entra ID las admite desde marzo de 2026.

Los administradores eligen qué tipos permitir, y un ajuste decide mucho: la atestación (attestation). Con la atestación obligatoria, Entra comprueba qué creó la passkey, así que solo las vinculadas al dispositivo califican. Las sincronizadas no admiten atestación.

La guía de Microsoft: llaves de seguridad para sectores muy regulados o usuarios con privilegios, y para la mayoría de los usuarios, las passkeys sincronizadas son una alternativa cómoda y de bajo costo al MFA tradicional.

Las passkeys son una de varias opciones resistentes al phishing en Entra ID. La lista completa: Windows Hello para empresas, Platform Credential para macOS, passkeys sincronizadas, llaves de seguridad FIDO2, passkeys en Microsoft Authenticator y la autenticación basada en certificados.

Qué significa para tu tenant

• A quién afecta: a cualquier usuario habilitado para verificación por mensaje de texto o voz. Si nadie en tu tenant lo está, no hay nada que hacer.
• Exclusión temporal: hasta el 1 de febrero, un tenant puede pausar la habilitación automática de passkeys y los avisos de registro con un ajuste de Microsoft Graph. Solo da tiempo; no evita la aplicación obligatoria de febrero.
• Tu propio proveedor de telefonía: si de verdad necesitas texto o voz, por motivos regulatorios u operativos, puedes traer tu propio proveedor a través de Microsoft Security Store desde el 30 de octubre. Los primeros proveedores de la versión preliminar son Soprano y Telesign. Contratas directamente con ellos, y les pagas a ellos.

Algunas cosas que se suelen pasar por alto:

• El autoservicio de restablecimiento de contraseña usa la misma entrega por texto y voz, así que también entra en el retiro, salvo que uses un proveedor.
• El inicio de sesión por SMS, en el que los trabajadores de primera línea entran solo con su número de teléfono y un código, también se retira el 1 de febrero de 2027, y un proveedor de telefonía no lo mantiene.
• Invitados: la compatibilidad de passkeys para invitados internos se está implementando ahora, y los usuarios externos vendrán después.
• Costo: las passkeys están incluidas en todas las ediciones de Microsoft Entra ID, incluso la Free. Los informes de actividad y el acceso condicional que usamos abajo necesitan al menos Microsoft Entra ID P1. Consulta Microsoft Learn para ver qué incluye tu plan.

En el laboratorio: cinco pasos

Hicimos el cambio en un tenant de laboratorio con usuarios de prueba. Los ajustes de abajo son los que elegimos para la demo, no requisitos.

1. Encontrar quién usa texto y voz

En el centro de administración de Microsoft Entra, ve a Entra ID > Authentication methods > Policies. SMS y Voice call muestran para quién están habilitados. En nuestro laboratorio, SMS estaba activado para un grupo llamado SMS users.

Para ver a las personas, abre Activity > User registration details y mira Methods registered: todos los que tienen Mobile phone aún tienen un número de teléfono para MFA. Este informe necesita al menos Entra ID P1 y puede tardar hasta 36 horas en actualizarse.

Microsoft también publica un script de PowerShell en GitHub (entra-sms-voice-usage-analyzer) que lee los destinos de tus directivas de SMS y voz y el estado de tu campaña de registro. Muestra qué grupos están incluidos, no usuarios individuales.

2. Activar las passkeys

De vuelta en Policies, abre Passkey (FIDO2). Nuestro tenant ya estaba suscrito a los perfiles de passkey (passkey profiles). Una vez que te suscribes, no puedes darte de baja.

• En Configure, Allow self-service set up se queda en Yes, para que los usuarios registren sus propias passkeys.
• El perfil de passkey predeterminado decide qué se permite. Con Enforce attestation activado, solo se ofrecen passkeys vinculadas al dispositivo. En el laboratorio lo desactivamos y permitimos Device-bound y Synced.
• Luego Enable y el destino: en nuestro laboratorio, todos los usuarios.

3. Lanzar una campaña de registro

En Authentication methods > Registration campaign, State tiene tres opciones: Microsoft managed, Enabled y Disabled. Con Enabled, dejamos el método en Passkey (FIDO2), pusimos 3 días para posponer (va de 0 a 14), activamos Limited number of snoozes (tres veces) y apuntamos al grupo SMS users.

Ahora, en su próximo inicio de sesión con MFA, a esos usuarios se les pide configurar una passkey. El aviso no aparece en Linux, y a los invitados no se les pide.

4. Maya registra una passkey en su iPhone

Lo grabamos en un iPhone real con iOS 27. Las passkeys en Authenticator necesitan iOS 17 o posterior, y en Android las pantallas son distintas. Antes de grabar, instalamos Microsoft Authenticator y lo activamos como proveedor de passkeys en Ajustes > General > Autorrelleno y contraseñas.

1. Maya abre myaccount.microsoft.com en Safari, entra con su contraseña y verifica con un código por mensaje de texto.
2. Aparece la campaña de registro: Let’s keep your account secure. Toca Next, y otra vez Next en Sign in faster with your face, fingerprint, or PIN.
3. iOS ofrece dos lugares para guardar la passkey: Authenticator o la app Contraseñas de Apple. Contraseñas crearía una passkey sincronizada en el llavero de iCloud. Maya elige Authenticator, donde las passkeys son vinculadas al dispositivo, así que esta se queda en este iPhone.
4. Touch ID lo confirma, le pone un nombre y: Passkey created.

La documentación de Microsoft recomienda crear la passkey dentro de la propia app Authenticator. Este camino por el navegador solo funciona con Authenticator porque en el paso 2 desactivamos Enforce attestation. Con la atestación activada, Maya añadiría su cuenta en Authenticator y crearía la passkey ahí.

Después probamos el inicio de sesión. Safari sugirió su passkey y pidió Touch ID. El primer intento terminó con “Something went wrong”; tocó Try again y Use Passkey, usó Touch ID otra vez y entró. Sin contraseña y sin código por texto.

5. Exigirla con acceso condicional y luego apagar texto y voz

Registrar una passkey no impide que alguien siga usando un código por texto. Para exigirla, creamos una directiva de acceso condicional:

• Usuarios: el grupo piloto SMS users.
• Recursos de destino: una app para la prueba, Office 365.
• Conceder: Require authentication strength, Phishing-resistant MFA. No se puede combinar con Require multifactor authentication en la misma directiva.
• Habilitar directiva: Report-only (solo informe). En este modo, el acceso condicional evalúa la directiva pero no la aplica, así que nadie queda bloqueado mientras revisas los resultados.

Una trampa que menciona la documentación de Microsoft: si una directiva así apunta a todos los recursos, los usuarios pueden quedar atrapados en un bucle al registrar una passkey en Authenticator. Limitarla a apps concretas lo evita.

Cuando tus usuarios ya se hayan pasado, SMS y Voice call se pueden desactivar, o excluir a los grupos migrados, en la misma página Policies. En el laboratorio solo mostramos dónde y descartamos el cambio. Si aún usas la configuración antigua de MFA y de restablecimiento de contraseña, Manage migration, arriba en Policies, muestra en qué punto estás. Con Migration Complete, Entra solo sigue la directiva de métodos de autenticación.

Resumen

1. Encuentra quién sigue usando texto y voz.
2. Activa las passkeys.
3. Lanza una campaña de registro, para que a los usuarios se les pida crear una al iniciar sesión.
4. Prueba una directiva de acceso condicional que exija MFA resistente al phishing, primero en solo informe.
5. Apaga texto y voz cuando los usuarios ya se hayan pasado.

El 1 de febrero de 2027 es la fecha límite.

Fuentes

• Retiro de SMS y voz en Microsoft Entra ID y sus preguntas frecuentes
• Passkeys (FIDO2) en Microsoft Entra ID y cómo habilitarlas
• Registrar una passkey en Microsoft Authenticator
• Campaña de registro
• Seguridad de autenticación en el acceso condicional
• Actividad de métodos de autenticación
• Administrar métodos de autenticación (migración)
• Opciones de autenticación por teléfono