Microsoft abbandona autenticazione SMS: AI rende il phishing più pericoloso
Microsoft annuncia la fine dell'autenticazione tramite SMS e voce su Entra ID a favore dei passkey, per contrastare le nuove minacce AI.
Microsoft ha comunicato agli amministratori IT l’imminente eliminazione dell’autenticazione tramite SMS e voce, a causa dei crescenti rischi legati al phishing potenziato dall’intelligenza artificiale. Secondo la società, le tecniche di attacco rese possibili dall’AI stanno aumentando in modo significativo la riuscita di furti di credenziali e codici MFA, soprattutto sfruttando la manipolazione dei canali vocali e SMS.
La diffusione di strumenti AI ha facilitato anche le pratiche di SIM swapping, consentendo agli attaccanti di trasferire numeri di telefono su SIM controllate, spesso senza particolari competenze tecniche. Microsoft evidenzia che, mentre l’AI non compromette direttamente le SIM, permette però di ingannare più facilmente gli utenti e ottenere volontariamente dati sensibili.
La roadmap annunciata prevede due tappe: dal 1° settembre prossimo, gli utenti Entra che utilizzano autenticazione via SMS o voce dovranno attivare un passkey durante l’accesso. Dal 1° febbraio 2027, questi metodi verranno definitivamente dismessi su Entra ID e il passkey diventerà obbligatorio per tutti, senza eccezioni.
Anche per gli account personali Microsoft (come Outlook, Xbox e Windows 11), è iniziata una progressiva eliminazione degli SMS per autenticazione e recupero account, pur senza una data definitiva per ora.
