Microsoft ประกาศการเปลี่ยนแปลงครั้งสำคัญด้านความปลอดภัยสำหรับองค์กร โดยเตรียมยกเลิกการส่ง OTP ผ่าน SMS และโทรศัพท์ (Voice Call) สำหรับระบบ MFA บน Microsoft Entra ID (Azure AD เดิม) โดยผลักดันให้ Passkey กลายเป็นวิธีการยืนยันตัวตนมาตรฐานแทน ถือเป็นการยกระดับความปลอดภัยสู่ระดับ Phishing-Resistant

เหตุผลสำคัญในการยกเลิกครั้งนี้ มาจากปัญหาความเสี่ยงด้านความปลอดภัยของ SMS และ Voice เช่น การถูกโจมตีแบบ SIM-Swap, การดักจับสัญญาณ และการทำ Phishing ที่พบได้มากขึ้นเรื่อยๆ ในขณะที่ Passkey ที่อิงตามมาตรฐาน FIDO2/WebAuthn มีความปลอดภัยสูงกว่า

การปรับเปลี่ยนจะมีผลบังคับใช้ตามไทม์ไลน์ดังนี้:

1 กันยายน 2026 - ผู้ใช้ที่ยังคงเปิดใช้งาน SMS หรือ Voice อยู่ จะถูกแจ้งให้ลงทะเบียน Passkey โดยอัตโนมัติตอนที่ผู้ใช้ล็อกอินเข้าระบบ โดยช่วงนี้ยังสามารถกดข้ามได้

1 กุมภาพันธ์ 2027 - ปลดระวางจริง ระบบการส่ง SMS และ Voice Call จาก Microsoft จะถูกปิดตัวลงถาวร โดยไม่มีตัวเลือก Opt-out หรือกดข้ามให้แล้ว ผู้ใช้ที่ยังไม่ลงทะเบียนยืนยันตัวตนวิธีอื่นนอกจาก SMS/Voice จะเจอหน้าจอบังคับลงทะเบียน Passkey ทันทีขณะล็อกอิน และจะไม่สามารถกดข้ามได้จนกว่าจะสร้าง Passkey เสร็จ

ผู้ดูแลระบบควรวางแผนเปลี่ยนผ่านจากระบบ SMS OTP ไปยัง Passkey หรือ Authenticator app ตั้งแต่เนิ่นๆ

อย่างไรก็ดี หากบางองค์กรมีความจำเป็นต้องใช้ SMS จริงๆ อาจจะด้วยเหตุผลด้าน compliance หรืออื่นๆ สามารถเลือกเชื่อมต่อกับผู้ให้บริการ SMS ภายนอกได้ โดย Microsoft จะเปิดเผยรายชื่อผู้ให้บริการที่รองรับรวมถึงค่าใช้จ่ายภายในวันที่ 18 กันยายนนี้ รวมถึงผู้ดูแลระบบสามารถ opt-out การขึ้นหน้าจอให้ผู้ใช้ลงทะเบียน Passkey อัตโนมัติได้ตั้งแต่วันที่ 1 สิงหาคมนี้ โดยการ opt-out ก็จะสิ้นสุดวันที่ 1 กุมภาพันธ์ 2027 เช่นกัน

นอกจากนี้ Microsoft ยังเปิดให้ดาวน์โหลด PowerShell script สำหรับให้ผู้ดูแลระบบรันเช็ค tenant ของตนว่าเข้าข่ายได้รับผลกระทบหรือไม่

ที่มา - Microsoft Security Blog, Microsoft Learn