Microsoft 365: cosa cambia per l’MFA dal 1° febbraio 2027 e cosa deve fare un’azienda?

Dal 1° febbraio 2027 Microsoft smette di fornire SMS e chiamate vocali come secondo fattore di autenticazione (MFA) per gli account Microsoft 365 aziendali. Gli utenti che oggi confermano l’accesso solo con il codice via SMS verranno bloccati al login finché non registrano una passkey, e non è prevista alcuna deroga. Per un’azienda la cosa da fare è verificare subito quali utenti dipendono ancora dall’SMS e portarli su Microsoft Authenticator o passkey entro gennaio. Media Assistance segue queste migrazioni per PMI e studi professionali tra Varese, Milano e Novara e, da remoto, in tutta Italia.

Le date da segnare

• 1° settembre 2026: le passkey diventano il metodo predefinito in Microsoft Entra ID (l’identità di Microsoft 365) e vengono abilitate automaticamente per gli utenti che usano SMS o chiamata.
• 1° febbraio 2027: stop a SMS e chiamate forniti da Microsoft per tutti gli utenti, compresi gli ospiti interni. Chi ha solo questi metodi deve registrare una passkey per poter entrare.
• 1° luglio 2027: la stessa regola vale per gli amministratori globali e per gli utenti esterni.

Attenzione a un equivoco: non si tratta di “MFA obbligatoria per tutti da febbraio”. L’autenticazione a più fattori resta configurata come oggi; cambia il modo in cui si conferma l’accesso, perché l’SMS non sarà più disponibile. Per i portali di amministrazione (Azure, Entra, Intune, interfaccia di amministrazione di Microsoft 365) l’MFA è invece già obbligatoria dal 2024-2025.

Perché Microsoft abbandona l’SMS?

Il codice via SMS è il secondo fattore più debole: può essere intercettato con lo scambio fraudolento della SIM (SIM swap), carpito con pagine di phishing che chiedono anche il codice, o inoltrato per errore dall’utente stesso. Le passkey invece sono legate al dispositivo e al sito reale: non si possono digitare su una pagina falsa, quindi resistono al phishing.

Chi rischia di restare bloccato?

• Utenti con solo SMS o chiamata: spesso chi ha configurato l’MFA anni fa e non l’ha più toccata.
• Account condivisi (amministrazione@, magazzino@, reception@) legati al cellulare di una persona che magari non lavora più in azienda.
• Collaboratori senza smartphone aziendale o che non vogliono installare app sul telefono personale.
• Amministratori globali: hanno tempo fino a luglio 2027, ma sono gli account più delicati e vanno sistemati per primi.

Cosa fare entro gennaio: il piano in quattro passi

1. Inventario dei metodi: dal report “Dettagli registrazione utente” di Microsoft Entra si vede, utente per utente, quali metodi sono registrati. Si parte da chi ha solo SMS o chiamata.
2. Scegliere il metodo sostitutivo: Microsoft Authenticator con passkey per la maggior parte degli utenti; Windows Hello for Business sui PC aziendali; chiavi di sicurezza FIDO2 per chi non ha uno smartphone o per gli account amministrativi.
3. Campagna di registrazione: comunicazione agli utenti, istruzioni semplici, finestra di qualche settimana con supporto dedicato. Meglio farlo a dicembre con calma che il 1° febbraio con metà ufficio bloccato.
4. Criteri e account di emergenza: aggiornare i criteri di accesso condizionale o le impostazioni predefinite per la sicurezza, eliminare gli account condivisi dove possibile e creare due account di emergenza (“break glass”) protetti con chiave FIDO2, per non restare mai chiusi fuori dal proprio tenant.

Per chi ha davvero bisogno dell’SMS (per esempio in settori regolamentati) Microsoft renderà disponibili provider di telefonia di terze parti nel Microsoft Security Store dal 30 ottobre 2026: è un’opzione a pagamento e di nicchia, non la soluzione per una PMI.

La revisione dell’MFA è anche il momento giusto per controllare il resto della sicurezza degli account e dei dispositivi: licenze, accessi degli ex dipendenti, inoltri automatici della posta, dispositivi non gestiti. Con un contratto di assistenza informatica questi controlli diventano periodici.

Domande frequenti

Dal 1° febbraio 2027 l’SMS non funzionerà più per Microsoft 365?

Sì, per gli account aziendali Microsoft smette di inviare codici via SMS e chiamate come secondo fattore. Per amministratori globali e utenti esterni la data è il 1° luglio 2027.

Cosa succede a un utente che ha solo l’SMS?

Al primo accesso dopo la scadenza gli viene chiesto di registrare una passkey e non può entrare finché non lo fa. Non è possibile rinviare.

Cos’è una passkey?

È una credenziale salvata sul telefono, sul PC o su una chiave di sicurezza, che si sblocca con impronta, volto o PIN. Non si digita e non si può rubare con una pagina di phishing.

E chi non ha uno smartphone aziendale?

Può usare Windows Hello sul PC aziendale oppure una chiave di sicurezza FIDO2 da tenere con le chiavi di casa: costa poco e funziona senza app.

Fonti: Microsoft Learn – Passkeys by default and retirement of Microsoft-provided SMS and voice authentication; Microsoft Learn – MFA obbligatoria per i portali di amministrazione.