9月から、Microsoft Entra IDではパスキーがデフォルトの認証方法となります

マイクロソフトは、2026年9月より、エンタープライズIDサービス「Entra ID」のデフォルトの認証方法としてパスキーが採用されると発表しました。

現在、携帯電話によるSMSおよび音声認証を利用しているEntra IDユーザーに対しては、パスキーが自動的に有効化されます。これらの認証方法は、2027年2月にすべてのテナントで廃止される予定です。

ただし、すでにパスキー、Windows Hello for Business、FIDO2セキュリティキー、スマートカード、またはその他のフィッシング対策済みの方法でアカウントにサインインしているユーザーは、引き続きそれらの方法を使用できます。

「各組織への展開が進むにつれ、SMSまたは音声認証が有効になっているユーザーには自動的にパスキーが有効化され、次に多要素認証を行う際に、パスキーの登録を促すメッセージが表示されます」とマイクロソフトは述べています。

「この移行に伴い、2027年2月1日をもって、マイクロソフトはSMSおよび音声認証のための自社提供の通信配信サービスを終了し、SMSおよび音声をMicrosoft Entraのネイティブ機能として提供しなくなります。」

この日付までに、組織は、すべてのユーザーがフィッシング攻撃に強い認証方法を使用していることを確認し、サインインの混乱を回避するよう推奨されています。これは、ユーザーがSMSや音声を使用して多要素認証を完了し、アカウントにサインインできなくなるためです。

「グローバルリーダー」、「認証ポリシー管理者」、または「セキュリティリーダー」のロールが有効になっている管理者は、Entra SMS/Voice Policy Scanner PowerShell スクリプトを実行することで、SMS または音声認証を使用しているユーザーを確認できます。

依然として電話ベースの認証の使用が必要な組織は、Microsoft Security Store を通じてサードパーティの通信プロバイダーを設定する必要があります。

Microsoft は、この専用ドキュメントページで、Entra ID のフィッシング耐性のあるパスワードレス認証の展開および管理に関するステップバイステップの手順を提供しています。

脅威アクター（ShinyHunters 身代金要求グループを含む）が、 盗まれた認証情報を利用した 最近のSaaS データ窃取攻撃の波において、Microsoft Entra シングルサインオン (SSO) アカウントを標的にしていることから、 ユーザーは、 ID 攻撃を阻止しアカウントのセキュリティを向上させるために、 電話ベースの認証方法からの移行が推奨されます。

「Microsoft Threat Intelligenceの観測によると、AIを活用したフィッシングキャンペーンのクリック率は最大54%に達しており、従来のキャンペーンの約12%と比較して、盗まれたパスワードやフィッシングの標的となりやすい第2要素認証が差し迫ったリスクとなっています」とMicrosoftは付け加えました。

「パスキーをデフォルトの認証手段とすることで、組織はフィッシングの標的となりやすい認証方法への依存を減らし、認証情報の盗難やフィッシングに対する防御を強化できます。」