Passkey được tự động kích hoạt cho người dùng Entra ID hiện đang sử dụng xác thực bằng tin nhắn SMS và giọng nói qua điện thoại - phương thức này sẽ bị loại bỏ vào tháng 2/2027 trên tất cả các hệ thống.

Tuy nhiên, những người dùng hiện đang đăng nhập vào tài khoản của họ bằng mật khẩu, Windows Hello for Business, khóa bảo mật FIDO2, thẻ thông minh hoặc bất kỳ phương pháp chống lừa đảo nào khác sẽ có thể tiếp tục sử dụng các phương pháp đó.

Microsoft cho biết: “Khi quá trình triển khai đến từng tổ chức, người dùng đã được kích hoạt xác thực qua SMS hoặc giọng nói sẽ tự động được kích hoạt xác thực bằng Passkey, lần tiếp theo thực hiện xác thực đa yếu tố, họ sẽ được yêu cầu đăng ký Passkey”.

Sau quá trình chuyển đổi này, vào ngày 01/02/2027, Microsoft sẽ ngừng cung cấp dịch vụ viễn thông do hãng cung cấp cho xác thực SMS và giọng nói, cũng như không còn cung cấp hai phương thức xác thực này như một tính năng gốc của Microsoft Entra.

Trước thời điểm đó, các tổ chức được khuyến cáo nên đảm bảo tất cả người dùng đang sử dụng phương thức chống lừa đảo để tránh gián đoạn đăng nhập, vì họ sẽ không còn có thể sử dụng SMS hoặc giọng nói để hoàn tất xác thực đa yếu tố và đăng nhập vào tài khoản của mình.

Lộ trình loại bỏ xác thực SMS và giọng nói (Nguồn: Microsoft)

Các tổ chức vẫn bắt buộc phải sử dụng xác thực qua điện thoại sẽ cần cấu hình các nhà cung cấp dịch vụ viễn thông bên thứ ba thông qua Microsoft Security Store. Gã khổng lồ công nghệ cung cấp hướng dẫn từng bước về việc triển khai và quản lý xác thực passwordless chống lừa đảo Entra ID tại đây.

Người dùng được khuyến cáo nên chuyển sang các phương thức xác thực khác ngoài xác thực qua điện thoại, nhằm ngăn chặn các cuộc tấn công đánh cắp danh tính và tăng cường bảo mật tài khoản, vì các tác nhân đe dọa (bao gồm cả băng đảng tống tiền ShinyHunters) đã nhắm mục tiêu mạnh vào các tài khoản đăng nhập một lần (SSO) của Microsoft Entra trong làn sóng tấn công đánh cắp dữ liệu SaaS gần đây, bằng cách sử dụng thông tin đăng nhập bị đánh cắp.

“Microsoft Threat Intelligence đã ghi nhận các chiến dịch lừa đảo qua mạng sử dụng AI lên đến 54%, so với khoảng 12% đối với các chiến dịch truyền thống hơn, khiến việc đánh cắp mật khẩu và xác thực hai yếu tố có thể bị lừa đảo trở thành một rủi ro cấp bách”, Microsoft cho biết.

Bằng cách đặt Passkey làm phương thức xác thực mặc định, các tổ chức sẽ giảm sự phụ thuộc vào các phương thức xác thực dễ bị tấn công phishing, bên cạnh đó có thể tăng cường khả năng bảo vệ chống lại hành vi đánh cắp thông tin đăng nhập và lừa đảo trực tuyến.