Em agosto de 2026, uma investigação policial no Brasil apurou um esquema de troca fraudulenta de chips de celular com prejuízo estimado em R$ 500 mil. Com documentos falsificados e selfies biométricas manipuladas, o grupo alterava a titularidade de linhas móveis e, de posse do número, interceptava os códigos de autenticação enviados por mensagem para invadir contas e autorizar transações. Nenhum código foi “quebrado” — foram entregues na mão errada. É esse raciocínio que levou a Microsoft a marcar data para o fim do MFA por SMS e voz no Microsoft 365. E boa parte das PMEs que “já ligou o segundo fator” ligou justamente o que vai parar de funcionar.

As três datas que a sua empresa precisa anotar

A Microsoft publicou o cronograma oficial da aposentadoria do SMS e da voz no Microsoft Entra ID, o serviço de identidade por trás do login do Microsoft 365. Não é recomendação de boa prática: é prazo com efeito na tela de login do seu time.

• 1º de setembro de 2026 (já passou): os passkeys viraram a experiência padrão. Quem usava SMS ou voz foi habilitado automaticamente e começou a receber convites de cadastro no login.
• 30 de outubro de 2026: quem realmente precise manter SMS ou voz passa a poder contratar um provedor de telefonia próprio pela Microsoft Security Store — ou seja, deixa de ser serviço incluído e vira contrato e custo à parte.
• 1º de fevereiro de 2027: a Microsoft para de entregar SMS e voz. Quem tiver o telefone como único método de MFA é obrigado a cadastrar um passkey no login — e o aviso é bloqueante: sem cadastrar, não entra. A documentação é explícita: não existe opção de recusar.

Há uma exceção: administradores globais e usuários externos seguem até 1º de julho de 2027. Existe também uma dispensa temporária por API (passkeyDynamicMigration), que vale só até fevereiro e adia o convite de cadastro, não o desligamento.

Por que o SMS deixou de ser considerado segurança

O código por SMS tem um problema de projeto que atualização nenhuma resolve: depende de um terceiro. É como deixar a chave reserva do escritório na portaria — a fechadura pode ser ótima, mas quem convencer o porteiro de que é você leva a chave. Aqui, o porteiro é a operadora.

Isso não é opinião de fornecedor. O NIST SP 800-63B, referência técnica de autenticação, classifica o uso da rede telefônica para autenticação fora de banda como autenticador restrito: quem insiste em usá-lo precisa registrar formalmente o risco e manter plano de migração. No Brasil, a Anatel conduz junto às operadoras um projeto para levar biometria a 100% das linhas móveis justamente para combater a clonagem de chip.

O que é um passkey, na prática

Um passkey troca o código digitado por uma chave criptográfica guardada no dispositivo do usuário — celular, notebook ou chave física — liberada por biometria ou PIN local. Não há segredo trafegando: não existe código para interceptar nem para o usuário repassar por telefone a um golpista. E a troca não custa usabilidade: segundo o estudo de caso da FIDO Alliance com a Microsoft, o login por passkey tem 95% de taxa de sucesso contra 30% das senhas e é oito vezes mais rápido que senha mais MFA tradicional — num cenário em que a própria Microsoft diz ter observado, em 2024, mais de 7.000 ataques a senhas por segundo.

Quem não precisa fazer nada

Vale desarmar o pânico: a mudança atinge apenas o SMS e a ligação entregues pela própria Microsoft. Seguem funcionando o Microsoft Authenticator, as chaves FIDO2, o Windows Hello para Empresas e MFA de terceiros. Se o time já usa aplicativo autenticador, o impacto é perto de zero. O risco se concentra no usuário com o celular como único segundo fator.

Como preparar sua empresa antes de fevereiro de 2027

1. Descubra quem ainda depende do telefone

A resposta quase nunca é a esperada. A Microsoft publicou um script de inventário (o Entra SMS/Voice Usage Analyzer) que lista quem está habilitado para SMS e voz; o mesmo sai do relatório de métodos de autenticação no portal do Entra. Olhe a diretoria, as contas compartilhadas e o financeiro — onde o “deixa o SMS que é mais prático” costuma ter vencido.

2. Habilite passkeys e rode uma campanha de cadastro

Ative o método Passkey (FIDO2) na política de métodos de autenticação e configure uma campanha de registro, que convida o usuário a cadastrar no próximo login com MFA. Comunique antes de mudar — a Microsoft aponta a comunicação coordenada como o maior fator de sucesso da migração. Fazer isso agora, planejado, é diferente de ser empurrado pelo bloqueio em fevereiro: um é projeto, o outro é incidente.

3. Garanta um segundo método por usuário

Passkey no celular e Windows Hello no notebook, por exemplo. Dispositivo quebra, é trocado e é perdido — sem método alternativo, cada evento desses vira chamado de desbloqueio manual. E defina por escrito como a sua TI valida quem liga pedindo reset: é onde o golpista tenta entrar.

4. Decida o que fazer com as exceções reais

Se houver exigência regulatória ou cenário em que nenhum outro método funcione, a saída é contratar provedor de telefonia pela Security Store — agora contrato e custo à parte. Para todo o resto, o caminho é passkey.

O padrão que já se repetiu antes

Não é a primeira vez que uma data da Microsoft pega a PME de surpresa, e o roteiro é sempre o mesmo: prazo anunciado com um ano de antecedência, ninguém prioriza, correção no modo emergência. A diferença é que aqui o sintoma será um usuário travado na tela de login — possivelmente a diretoria, numa segunda-feira de fechamento. Migrar 50 usuários com calma é tarefa de semanas; fazer isso com o acesso bloqueado é outra conversa.

🔐 Você sabe quantos usuários da sua empresa têm o SMS como único segundo fator hoje? Fale com os especialistas da Trinity TI e faça o inventário de autenticação do seu Microsoft 365 antes que o prazo faça isso por você.