כניסה עם SMS ושיחה קולית יוצאת משימוש ב-Entra ID: איך לעבור ל-passkeys לפני פברואר 2027

פורסם ב-30 באוקטובר 2026

מה משתנה

Microsoft כבר לא רואה ב-SMS ובשיחה קולית שיטות אימות מאובטחות, והופכת את ה-passkeys לחוויית ההתחברות ברירת המחדל ב-Entra ID.

תאריך	מה קורה
1 בספטמבר 2026	כבר בתוקף: משתמשים שמוגדרים ל-SMS או לשיחה קולית מוגדרים אוטומטית גם ל-passkeys, ומתבקשים לרשום אחד בפעם הבאה שהם עוברים MFA.
30 באוקטובר 2026	ארגונים שחייבים להמשיך עם SMS או שיחה קולית יכולים לבחור ספק טלפוניה בתשלום דרך Microsoft Security Store.
1 בפברואר 2027	קודי ה-SMS והשיחה הקולית המובנים של Microsoft מפסיקים לכל המשתמשים, כולל אורחים פנימיים, חוץ מ-Global Administrators ומשתמשים חיצוניים.
1 ביולי 2027	אותו דבר ל-Global Administrators ולמשתמשים חיצוניים.

מה קורה אם לא עושים כלום

אחרי תאריך היציאה משימוש, משתמש ששיטת ה-MFA היחידה שלו היא SMS או שיחה קולית יצטרך לרשום passkey במהלך ההתחברות לפני שיוכל להמשיך. הבקשה חוסמת, ו-Microsoft לא מאפשרת לוותר עליה. ויתור זמני קיים רק על בקשות ה-passkey האוטומטיות שלפני 1 בפברואר 2027.

ביום שני רגיל בבוקר, זה אומר תור בהלפדסק ואנשים שנעולים מחוץ למייל ול-Teams עד שיסיימו לרשום, הרבה פעמים בטלפון שהם לא היו מוכנים להשתמש בו.

למה זה חשוב

זה לא רק שינוי טכני שצריך לסמן עליו וי. קודי SMS ושיחה קולית הם מהשיטות החלשות ביותר ל-MFA:

פישינג: דף התחברות מזויף מבקש את הקוד ומעביר אותו ישר לתוקף, שמתחבר איתו באותו רגע.
SIM swap: תוקף משכנע את חברת הסלולר להעביר את המספר שלכם ל-SIM שלו, ומקבל את הקודים שלכם.
יירוט: הודעות ושיחות לא מוצפנות מקצה לקצה. CISA ממליצה לא להשתמש ב-SMS כגורם אימות שני מהסיבה הזו.

passkeys משתמשים במפתח שאף פעם לא יוצא מהמכשיר של המשתמש, ועובד רק בדף ההתחברות האמיתי של Microsoft. דף מזויף לא מקבל שום דבר שאפשר להשתמש בו שוב, ומספר טלפון גנוב לא שווה כלום.

מגבלה אחת שכדאי לזכור: passkeys מגינים על ההתחברות עצמה. הם לא עוצרים תוקף שגונב session token ממכשיר שכבר מחובר. כתבנו על זה ב-פישינג, גניבת tokens ו-CAE: מה ש-passkeys לבד לא פותרים.

מה לעשות עכשיו

מצאו מי עדיין משתמש ב-SMS או בשיחה קולית. Microsoft מפרסמת סקריפט שמציג אותם (נדרש Global Reader, Security Reader או Authentication Policy Administrator). גם הדוח Authentication methods activity ב-Entra admin center מציג רישומים.
הפעילו passkeys. ב-Entra admin center → Authentication methods, הפעילו את Passkey (FIDO2) למשתמשים האלה. גם synced passkeys (iCloud Keychain, Google Password Manager) וגם passkeys ב-Microsoft Authenticator עובדים.
הריצו קמפיין רישום. Authentication methods → Registration campaign מבקש מהמשתמשים להגדיר passkey בהתחברות ה-MFA הבאה שלהם. זו הדרך הקלה ביותר להעביר הרבה משתמשים בלי להעמיס על ההלפדסק.
התחילו עם האדמינים וחשבונות החירום. תנו לכל אדמין ולכל חשבון break-glass passkey או מפתח אבטחה קודם, כדי שאף אחד חשוב לא יינעל בחוץ ביום עצמו.
ספרו למשתמשים. הסבירו מה משתנה, מתי, ומה הם צריכים לעשות. Microsoft מספקת תבניות מוכנות לתקשורת עם משתמשים.
השאירו SMS רק איפה שחייבים. אם רגולציה או צורך תפעולי באמת מחייבים SMS או שיחה קולית, הגדירו ספק טלפוניה מ-Microsoft Security Store לפני התאריך. את כל השאר העבירו ל-passkeys.

איך Griffin31 עוזר

Griffin31 בודק את הגדרות ההתחברות שלכם באופן רציף, כך שתוכלו לראות מי עדיין תלוי ב-SMS הרבה לפני המועד. ההמלצות שכדאי לבדוק:

SMS authentication method: האם SMS עדיין מופעל למשתמשים שלכם.
SMS for first-factor sign-in: מי מתחבר עם קוד SMS בלבד.
Passwordless authentication for end users: האם passkeys מופעלים.
Phishing-resistant MFA for admin roles: האם אדמינים חייבים להשתמש ב-passkey או בשיטה אחרת עמידה לפישינג.
Phishing-resistant MFA for all users: אותו דבר לכולם.

נסו את Griffin31

מקורות

הגדרות עוגיות · מדיניות פרטיות