Microsoftは、企業向けID基盤「Microsoft Entra ID」で自社配信のSMS・音声による多要素認証（MFA）を2027年2月1日に終了する。SMSか音声を唯一の認証手段にしているユーザーは、同日以降、サインインを続ける前にパスキーを登録しなければならない。もっとも、SMSがEntra IDから消えるわけではない。規制や業務上の理由で必要な企業は、顧客管理型の通信事業者を契約できる。Microsoftが標準で配るコードをパスキーへ置き換え、SMSを残す利用者だけを企業管理の例外にする変更である。
9月の登録促進、2月の強制移行
移行は2026年9月1日と2027年2月1日の二段階で進む。最初の段階では、Entra Authentication Methods Policyまたは従来のMFA設定でSMS・音声を有効にしているユーザーが、すべての種類のパスキーを使えるプロファイルへ自動的に追加される。対象ユーザーがMFAを完了すると、Microsoft管理の登録キャンペーンがパスキーの設定を促す仕組みだ。既定では、この案内を何度でも延期できる。
| 日付 | Entra IDで変わること | 管理者の判断 |
|---|---|---|
| 2026年9月1日 | SMS・音声ユーザーへパスキーを自動で有効化 | 対象者へ告知し、登録キャンペーンを準備する |
| 2026年9月18日 | 顧客管理型通信事業者の情報を公開予定 | 地域、規制、運用要件に合うかを比較する |
| 2026年10月30日 | Microsoft Security Storeで事業者の選択・設定を開始予定 | 必要なユーザー群で契約と試験導入を進める |
| 2027年2月1日 | Microsoft提供のSMS・音声配信を終了 | パスキーなどへ移すか、通信事業者を設定する |
このスケジュールが示すのは、9月と2月で管理者の裁量が変わる点だ。9月の自動有効化と登録キャンペーンには、一時的なオプトアウトが用意されている。Microsoft GraphでPolicy.ReadWrite.AuthenticationMethod権限を使い、認証方式ポリシーのpasskeyDynamicMigrationを設定すれば、移行作業中の自動展開を遅らせられる。ただし、この設定は猶予にすぎない。2月1日の終了は全対象テナントに強制され、オプトアウトできない。
期限後も顧客管理型の通信事業者を設定していなければ、MicrosoftのSMS・音声ではMFAを完了できなくなる。利用できる方式がSMS・音声しかないユーザーには、パスキー登録を求めるブロッキング画面が表示される。登録が終わるまで先へ進めないが、Microsoftはアカウントを即座にロックすると説明しているわけではない。Windows Hello for BusinessやFIDO2セキュリティキーなど、フィッシング耐性のある方式をすでに使うユーザーはそのまま利用を続けられる。
なぜ今、パスキーへ切り替えるのか
SMSが抱える問題はAIとともに生まれたものではない。米国立標準技術研究所（NIST）の現行ガイドラインは、公衆交換電話網（PSTN）経由のSMS・音声を「制限付き」の認証器として扱う。端末交換、SIM変更、番号ポーティングといった異常を確認したうえで使うよう求めている。手入力するワンタイムパスワード（OTP）は特定の認証セッションと結び付かず、偽サイトが受け取ったコードを正規サイトへ転送できるため、フィッシング耐性を持たない。
AIは、この既知の穴を突く作業を速く、大規模にする。Microsoftは2025年のDigital Defense Reportを基に、AIで強化したフィッシングのクリック率が従来型の12%から最大54%へ上がったと説明している。文面や偽サイトを大量に作り、標的ごとに誘導を調整できれば、人が見破ることを前提にした防御は崩れやすい。SMSコードは一度しか使えなくても、その一度をリアルタイムに盗まれれば足りる。
さらにMicrosoftは、AIエージェントがユーザーの権限でシステムへアクセスし、ワークフローを実行する時代には、ID侵害後の被害が広がるとみている。したがって今回の移行は、AIがSMSを技術的に破ったためではない。攻撃の自動化と侵害後の権限利用が進む前に、ユーザーが偽サイトへ渡せる認証情報そのものを減らす対策だ。
コードを送らないパスキーの仕組み
パスキーはFIDO2規格のWebAuthnを使い、サービスごとに固有の公開鍵と秘密鍵を組み合わせて認証する。Entra ID側が保持するのは公開鍵であり、秘密鍵は端末または同期型の資格情報ストア側に置かれる。サインイン時にはEntra IDが送ったチャレンジへ秘密鍵で署名し、ユーザーは端末上の生体認証かPINで操作を承認する。SMSのように、人が読み取って別の画面へ入力できる共有コードは流れない。
フィッシング耐性を生むのは、鍵が登録先のサービスに結び付く点だ。偽のMicrosoftサインイン画面を開いても、そのドメイン向けの署名には使えない。攻撃者が入力値を正規サイトへ中継する手口も成立しない。Microsoftはこの性質により、パスキーが遠隔フィッシング、SIMスワップ、リプレイ攻撃へ耐性を持つとしている。
企業は利用者と保証水準に応じて方式を選べる。同期パスキーはiCloud KeychainやGoogle Password Managerなどを通じて複数端末で使いやすい。一方、Microsoft AuthenticatorのパスキーやFIDO2セキュリティキーは端末に拘束でき、Microsoftは高い保証を求める業界や特権ユーザーに後者を推奨する。
使い勝手も移行の成否を左右する。Microsoftの消費者サービスで得た集計では、同期パスキーの登録成功率は99%だった。サインインの所要時間は、パスワードと従来型MFAを組み合わせた69秒から3秒に短縮したという。成功率も従来方式の30%に対して95%としている。企業向けEntra IDで同じ結果が保証される数字ではないが、大人数へ展開する際の登録負担を見積もる材料にはなる。
残るSMSと、管理者が先に決める例外
2月1日に終わるのは、MicrosoftがEntra IDで標準提供するSMS・音声の配信である。対象もまずパブリッククラウド環境で、その他のクラウドには後日別の日程が示される。特定の規制が帯域外SMSを求める場合や、別方式を使えない現場では、Microsoft Security Store経由で通信事業者を選べる。SMSを残すなら、企業が必要なユーザー群を切り分け、契約と地域別の配信を自ら管理することになる。
個人向けMicrosoftアカウントは別の移行計画で動く。Microsoftは個人アカウントでも認証と回復からSMSを段階的に外し、パスキーと確認済みメールへ置き換える方針を示した。ただし、公式サポートページは終了期限を記していない。Entra IDの2027年2月1日という日付を、個人向けMicrosoftアカウントへそのまま当てはめることはできない。
企業の管理者が最初に行う作業は、SMS・音声を有効にしているユーザーの把握である。9月1日までにパスキー登録の案内方法を決め、例外が必要なら9月18日の事業者情報を確認する。10月30日から契約と試験導入を始められれば、2027年2月1日は突然の締め出しではなく、準備済みの認証ポリシーへ切り替える日になる。
