Microsoft ha iniciado una de las mayores transformaciones en la gestión de identidades de los últimos años. A partir del 1 de setiembre de 2026, las Passkeys pasarán a ser el método de autenticación predeterminado en Microsoft Entra ID, impulsando la adopción de mecanismos resilientes al phishing y promoviendo el abandono de métodos considerados más vulnerables, como los códigos SMS y las llamadas telefónicas. 

Esta transición culminará el 1 de febrero de 2027, fecha que Microsoft retirará su servicio nativo de autenticación mediante SMS y voz, fomentando el uso de métodos de autenticación más seguros y preparados para afrontar las amenazas actuales. 

La razón por este cambio es clara: los ataques contra identidades se han convertido en uno de los principales vectores de entrada utilizados por los ciberdelincuentes. Además, la irrupción de la inteligencia artificial está aumentando la velocidad, la escala y la sofisticación de las campañas de phishing y de la ingeniería social. 

Según datos de Microsoft Threat Intelligence, las campañas de phishing potenciadas por inteligencia artificial pueden alcanzar tasas de interacción de hasta el 54%, frente a aproximadamente el 12% de las campañas tradicionales. Este cambio en el panorama de amenazas convierte la protección de la identidad digital en una prioridad estratégica para cualquier organización. 

¿Qué son las Passkeys?
Las Passkeys o claves de acceso son un método de autenticación basado en criptografía de clave pública que permite iniciar sesión sin depender de contraseñas ni códigos SMS. 

A diferencia de los métodos tradicionales, las Passkeys están diseñadas para ser resistentes al phishing por definición, ya que no utilizan secretos compartidos que puedan ser robados, interceptados o reutilizados por atacantes. 

En lugar de introducir un código recibido por SMS o una contraseña, el usuario valida su identidad mediante biometría, PIN o una llave física compatible. 

¿Por qué Microsoft está impulsando las Passkeys?
1. Son resistentes al phishing
Las Passkeys utilizan criptografía de clave pública en lugar de contraseñas o códigos temporales. Esto significa que un atacante no puede capturar ni reutilizar las credenciales mediante páginas falsas o correos fraudulentos. 

2. Eliminan la dependencia de los SMS
Los códigos enviados por SMS llevan años siendo un segundo factor ampliamente utilizado, pero también uno de los más atacados. Las Passkeys eliminan completamente esta dependencia. 

3. Reducen el robo de credenciales
Al no existir contraseñas ni códigos reutilizables, disminuye drásticamente el riesgo de robo de credenciales, secuestro de cuentas o ataques de ingeniería social. 

4. Mejoran la experiencia del usuario
Además de ser más seguras, las Passkeys permiten procesos de autenticación más rápidos y sencillos para los usuarios, reduciendo la fricción durante el inicio de sesión.

Fechas clave que debes conocer

• 1 de setiembre de 2026
  Microsoft comenzará a habilitar las Passkeys como método predeterminado para usuarios que actualmente utilizan SMS o voz para MFA. También se recomendará iniciar campañas internas de adopción. 
• 18 de setiembre de 2026
  Microsoft publicará información sobre proveedores de telecomunicaciones compatibles para aquellas organizaciones que todavía necesiten mantener autenticación por SMS o voz.
• 30 de octubre de 2026
  Fecha prevista para que las organizaciones que quieran continuar utilizando SMS o llamadas configuren un proveedor de telecomunicaciones gestionando externamente. 
• 1 de febrero de 2027
  Microsoft retirará definitivamente la autenticación SMS y voz proporcionada de forma nativa por Entra ID.
• Desde el 2 de febrero de 2027
  Los usuarios cuya única opción de MFA sea SMS o voz deberán registrar obligatoriamente una Passkey para poder continuar accediendo a sus cuentas. Este requisito será obligatorio y no tendrá opción de exclusión. 

¿Y qué pasa con las llaves físicas de seguridad?
Las organizaciones con requisitos de seguridad elevados pueden complementar o desplegar llaves físicas FIDO2 como YubiKey y tecnologías similares. 

Estas soluciones utilizan criptografía avanzada y son inmunes a ataques de phishing, SIM swapping o robo de códigos temporales. Además, resultan especialmente útiles en sectores regulados en entornos donde los empleados no pueden utilizar dispositivos móviles personales durante su jornada laboral. 

¿Preparados para dejar atrás el SMS?
Descubre como implementar Passkeys de forma segura y sencilla