A Microsoft anunciou que vai reformar por completo a forma como a autenticação multifactor funciona no Entra ID (“azure”), o sistema de identidade que suporta o Microsoft 365 e milhares de organizações. A partir de 1 de setembro de 2026, os passkeys passam a ser o método de autenticação por defeito, sendo automaticamente ativados para todos os utilizadores que hoje dependem de SMS ou de chamada de voz. A partir de 1 de fevereiro de 2027, a Microsoft deixa de fornecer nativamente a entrega de SMS e voz: quem ainda precisar destes métodos terá de contratar um fornecedor de telecomunicações através da Microsoft Security Store. Passada essa data, qualquer utilizador cujo único método de autenticação seja SMS ou voz será obrigado a registar um passkey no momento do início de sessão, através de um pedido que não pode ser adiado nem ignorado.

A Microsoft confirma que não existirá exceção a esta regra para nenhum tenant (pelo menos é o que pode ser lido em learn.microsoft.com/entra/identity/authentication/concept-sms-voice-retirement).

A justificação oficial da Microsoft associa esta decisão à adoção crescente de IA, que segundo a empresa torna o phishing mais barato e mais fácil de escalar do que nunca.

Mas note-se: A fragilidade do SMS e da chamada de voz como segundo factor não é uma descoberta recente nem um efeito direto da IA generativa: é uma vulnerabilidade conhecida há mais de uma década, explorada por SIM swapping, interceção de rede móvel e engenharia social simples. O que mudou não foi a natureza do risco, mas a sua escala e o seu custo de exploração. A IA tornou o phishing mais acessível a atacantes menos sofisticados, e esse foi provavelmente o fatcor que finalmente levou a Microsoft a fixar uma data tão agressiva de fim de vida para métodos que a indústria de segurança já desaconselhava há muitos anos.

Devemos ainda esclarecer que a “chamada de voz” que a Microsoft retira não é uma verificação biométrica da voz do utilizador. É um sistema automatizado que liga para um número previamente registado e pede a introdução de um PIN através do teclado do telefone. A fragilidade não está em imitar uma voz: está em confiar que a posse de um número de telefone equivale, com segurança suficiente, à identidade de quem o regista: ou seja, que é, de facto, a Microsoft e não alguém a fazer-se passar pela empresa de Redmond (ler https://cidadaospelaciberseguranca.com/2025/05/28/analise-do-fenomeno-das-chamadas-de-scammers-e-burloes-medidas-internacionais-e-propostas-para-portugal/ a este respeito).

Obviamente, os administradores de rede têm também ao seu dispor a alternativa constituída pelos  TOTP (códigos de uso único): A comparação relevante não é apenas passkeys contra SMS, mas o TOTP continua vulnerável a ataques adversary-in-the-middle: uma página de phishing que imita o ecrã de autenticação legítimo pode capturar simultaneamente a palavra-passe, o código TOTP e o cookie de sessão gerado após a autenticação bem-sucedida, permitindo ao atacante assumir a sessão sem nunca precisar de voltar a autenticar-se. Este tipo de ataque, executado com kits de phishing como o Evilginx, tornou-se relativamente comum no meio do cibercrime.

Por outro lado, as passkeys, baseados no protocolo WebAuthn/FIDO2, são resistentes a este vetor porque a credencial fica criptograficamente associada ao domínio exato para o qual foi registada. Uma página falsa, mesmo que visualmente idêntica ao ecrã de login real, não consegue completar o desafio criptográfico porque o domínio não corresponde. Não existe, à data, um exploit público conhecido que contorne esta proteção. Isso não significa que os passkeys sejam invulneráveis para sempre (tal coisa, simplesmente, não existe) mas significa que, hoje, representam o patamar mais alto de proteção possível e prática contra phishing disponível em produção.

Dito isto, há um desfasamento real entre a grande (e talvez excessiva) ambição do calendário da Microsoft e o estado atual dos seus próprios produtos: Os Administradores que já estão a implementar passkeys no Entra reportam que vários fluxos de autenticação geridos pela própria Microsoft ainda não suportam passkeys, resultando em erros precisamente nos sistemas que deveriam servir de exemplo. Convém também sublinhar, para quem lê o anúncio de forma apressada, que a obrigatoriedade só se aplica a partir de fevereiro de 2027 a utilizadores cujo único método disponível seja SMS ou voz e que quem tiver qualquer outro método configurado (por exemplo Microsoft Authenticator), mesmo que menos seguro que um passkey, não é automaticamente forçado à migração. Isto deixa uma zona intermédia considerável de aplicações e organizações que não estarão, na prática, sob pressão real até muito depois dessa data. Calendários agressivos deste tipo já foram adiados no passado pela Microsoft perante resistência de grandes clientes, pelo que a data de fevereiro de 2027 deve ser lida como um plano determinado e sagrado mas não como uma certeza absoluta.

Há também uma questão de equidade e continuidade de serviço que a Microsoft não resolve por si só. Um passkey vive tipicamente associado a um dispositivo físico ou a um cofre de credenciais sincronizado (como o iCloud Keychain ou o Google Password Manager): Perder esse dispositivo, ou não ter um smartphone pessoal ou profissional, transforma a ausência de palavra-passe numa barreira em vez de uma conveniência. Organizações que já avançaram nesta transição têm resolvido o problema com chaves de segurança físicas FIDO2 para colaboradores sem telemóvel profissional, e com procedimentos formais de recuperação de conta que não dependam de um único ponto de falha. Vale ainda notar que a Apple continua sem suportar passkeys para Managed Apple ID, uma lacuna de interoperabilidade que afeta diretamente organizações com frotas de dispositivos Apple geridos.

Recomendações CpC:

1. Para organizações portuguesas, públicas ou privadas, que dependem do Microsoft 365 ou do Entra ID, a recomendação da CpC é não esperar pelo calendário da Microsoft para agir. Antes de qualquer decisão de migração em massa, deve fazer-se um levantamento explícito de quais aplicações e fluxos internos ainda não suportam passkeys, para evitar promessas de prazos que a própria tecnologia da organização não consegue cumprir. A prioridade de migração deve seguir o risco, não a conveniência: contas com privilégios administrativos, acesso a dados pessoais de cidadãos ou a sistemas financeiros devem ser as primeiras a abandonar SMS e voz, independentemente da data-limite da Microsoft.
2. É indispensável desenhar, por escrito, um procedimento de recuperação de conta para perda de dispositivo, incluindo alternativas para colaboradores sem smartphone pessoal ou profissional: as chaves de segurança FIDO2 físicas são hoje a opção mais robusta para este cenário.
3. Por fim, qualquer comunicação interna sobre esta mudança deve ser pensada para utilizadores não técnicos, já que a autenticação sem palavra-passe, apesar de mais segura, exige um período de adaptação que não pode ser subestimado, sob pena de gerar bloqueios de acesso em massa em vez de ganhos de segurança.

Esta mudança confirma, mais uma vez, que a autenticação baseada em posse de número de telefone (por SMS ou chamada de voz) está a ser progressivamente abandonada pela indústria como padrão de segurança aceitável.

A CpC continuará a acompanhar a forma como esta transição é implementada em Portugal, particularmente em sistemas públicos que ainda recorrem a autenticação de fator único ou a SMS como segundo fator, e que deveriam começar já a preparar esta mesma transição.