Adiós a la autenticación por SMS de Microsoft Entra ID: cambios, fechas y próximos pasos
13 Oct 2026
Durante años, recibir un código por SMS ha sido una de las formas más habituales de completar la autenticación multifactor (MFA). Sin embargo, este modelo está cambiando en Microsoft Entra ID.
Microsoft ha iniciado una transición para reducir la dependencia del SMS y las llamadas de voz y avanzar hacia métodos de autenticación más resistentes al phishing, como las passkeys o claves de acceso.
El cambio ya está en marcha. Desde el 1 de septiembre de 2026, las passkeys se han convertido en la experiencia de autenticación predeterminada y los usuarios habilitados para SMS o voz pueden recibir indicaciones para registrar una clave de acceso.
¿Qué significa este cambio para las empresas? ¿Desaparecerá completamente el SMS? ¿Qué alternativas existen? Y, sobre todo, ¿cómo deberían prepararse las organizaciones? Respondemos a estas preguntas en este artículo.
¿Por qué Microsoft Entra ID deja atrás la autenticación por SMS?
Utilizar autenticación multifactor sigue siendo fundamental para proteger las identidades corporativas. Lo que está cambiando es el método utilizado para completar esa autenticación.
Los códigos enviados mediante SMS supusieron un importante avance frente al uso exclusivo de contraseñas, pero presentan vulnerabilidades.
Un atacante puede intentar obtenerlos mediante phishing o ingeniería social. También existen amenazas como el SIM swapping, mediante el cual un ciberdelincuente trata de hacerse con el control del número de teléfono de la víctima.
Por este motivo, Microsoft está orientando Entra ID hacia métodos resistentes al phishing. Las passkeys son una de las principales tecnologías elegidas para hacerlo.
¿Qué son las passkeys y por qué son más seguras?
Una passkey o clave de acceso es una credencial digital basada en criptografía de clave pública.
A diferencia de una contraseña o un código recibido por SMS, el usuario no tiene que introducir un secreto que pueda ser interceptado o entregado accidentalmente en una página fraudulenta.
De forma simplificada, el sistema utiliza dos elementos criptográficos relacionados: uno puede registrarse en el servicio y otro permanece protegido en el dispositivo o almacén de credenciales del usuario.
Esto permite que la autenticación sea resistente a ataques como el phishing, la repetición o el SIM swapping.
Microsoft Entra ID contempla principalmente dos modalidades:
- Passkeys sincronizadas. Pueden almacenarse en gestores de credenciales de plataforma y sincronizarse entre los dispositivos del usuario, como ocurre con determinados gestores de Google o Apple.
- Passkeys vinculadas al dispositivo. Permanecen asociadas a un dispositivo o credencial concreta. Aquí encontramos alternativas como Passkey en Microsoft Authenticator, Entra Passkey en Windows o claves físicas de seguridad FIDO2.
La elección dependerá de los dispositivos, perfiles de usuario y requisitos de seguridad de cada organización.
Fechas clave de la retirada del SMS en Microsoft Entra ID
La transición no se producirá de un día para otro. Microsoft ha establecido diferentes etapas para que las organizaciones puedan preparar sus entornos.
1 de septiembre de 2026: comienza la transición hacia passkeys
Desde esta fecha, los usuarios que tengan habilitado SMS o voz pueden ser habilitados automáticamente para utilizar passkeys.
Cuando vuelvan a iniciar sesión y completen la autenticación multifactor, recibirán una indicación para registrar una clave de acceso.
Esto no significa que el SMS deje inmediatamente de funcionar. Es el inicio del proceso de migración.
Septiembre y octubre de 2026: alternativas para quienes necesiten SMS
Microsoft contempla que algunas organizaciones puedan seguir necesitando SMS o llamadas de voz por motivos técnicos, empresariales, operativos o regulatorios.
Para estos casos, la compañía permite recurrir a proveedores de telecomunicaciones compatibles a través de Microsoft Security Store.
A partir del 30 de octubre de 2026, los clientes que necesiten mantener estos métodos podrán seleccionar y configurar un proveedor compatible.
1 de febrero de 2027: retirada del servicio proporcionado por Microsoft
Esta es la principal fecha que las empresas deben tener marcada. A partir del 1 de febrero de 2027, los servicios de entrega de SMS y voz proporcionados directamente por Microsoft dejarán de estar disponibles en Microsoft Entra ID para los usuarios afectados por esta fase.
Los usuarios cuyo único método MFA disponible continúe siendo SMS o voz deberán registrar una passkey para seguir accediendo a su cuenta si no existe una alternativa configurada.
Por eso, esperar hasta los últimos días puede provocar incidencias de acceso y una carga innecesaria para los departamentos de TI.
¿Desaparece completamente el SMS de Microsoft Entra ID?
No exactamente.
Uno de los puntos que puede generar más confusión es pensar que Microsoft Entra ID dejará de admitir cualquier autenticación mediante SMS.
Lo que Microsoft está retirando es su servicio nativo de entrega de SMS y llamadas de voz.
Si una organización tiene una necesidad real de mantener estos canales, podrá recurrir a un proveedor de telecomunicaciones compatible a través de Microsoft Security Store.
Microsoft recomienda, no obstante, utilizar las passkeys como vía principal de migración siempre que sea posible.
Para la mayoría de las empresas, por tanto, este cambio supone una oportunidad para dejar de depender progresivamente del SMS y adoptar métodos de autenticación más resistentes.
Artículos relacionados:
- Ciberseguridad para empresas: la guía práctica para empezar hoy (sin tecnicismos)
- Cómo proteger las bases de datos y la infraestructura de las pymes
- La alternativa a las VPNs tradicionales se llama Microsoft Entra Private Access
- El impacto de la Inteligencia Artificial en la ciberseguridad
- Ciberseguridad para PYMES: Como y porqué realizar una auditoría de ciberseguridad
¿Qué deben hacer las empresas antes de 2027?
La migración no debería plantearse simplemente como sustituir un código SMS por otro mecanismo.
La autenticación afecta directamente al acceso de los empleados a Microsoft 365 y otros recursos corporativos. Por ello, conviene preparar el cambio de manera progresiva.
1. Identificar quién sigue utilizando SMS o voz
El primer paso es conocer la situación actual.
Las organizaciones deberían identificar qué usuarios tienen habilitado SMS o voz y, especialmente, quiénes dependen exclusivamente de estos métodos para completar MFA.
Microsoft proporciona un script de PowerShell específico para localizar estos usuarios dentro del tenant. Para utilizarlo se necesitan determinados permisos administrativos o de lectura.
Este análisis permite dimensionar correctamente el proyecto.
2. Elegir los nuevos métodos de autenticación
Una vez identificados los usuarios afectados, habrá que determinar qué método utilizará cada colectivo.
Las passkeys serán la principal alternativa impulsada por Microsoft, aunque pueden coexistir diferentes opciones resistentes al phishing según las necesidades de la empresa.
Por ejemplo, determinados usuarios pueden trabajar con Windows Hello, otros con passkeys en Microsoft Authenticator y algunos perfiles pueden requerir claves físicas FIDO2.
3. Realizar una prueba piloto
Antes de extender el cambio a toda la plantilla, es recomendable comenzar con un grupo reducido. El piloto debería incluir usuarios con diferentes dispositivos y formas de trabajo.
Así se pueden validar aspectos como el registro de las credenciales, la experiencia de inicio de sesión, el acceso desde distintos dispositivos y los mecanismos de recuperación.
Una vez comprobado el funcionamiento, el despliegue puede ampliarse progresivamente.
4. Utilizar las campañas de registro de Microsoft Entra ID
Microsoft Entra ID dispone de campañas de registro para facilitar la adopción de las nuevas credenciales.
Cuando un usuario incluido en la campaña inicia sesión y completa MFA, puede recibir una indicación para configurar una passkey.
La empresa puede utilizar esta funcionalidad de forma proactiva para impulsar la migración antes de la retirada definitiva del SMS y la voz.
5. Preparar la recuperación de cuentas
También hay que pensar en lo que ocurre cuando algo sale mal. ¿Qué sucede si un empleado pierde su dispositivo? ¿Y si cambia de móvil? ¿Cómo recuperará el acceso?
Estos procedimientos deberían definirse antes de extender el nuevo modelo de autenticación.
Una estrategia de identidad segura debe proteger el acceso, pero también permitir recuperar una cuenta de forma controlada cuando sea necesario.
6. Informar a los usuarios
La comunicación es una parte fundamental del proyecto. Los empleados deben saber qué va a cambiar, cuándo ocurrirá y qué tendrán que hacer.
Microsoft recomienda comunicar primero el cambio, facilitar después instrucciones para registrar las nuevas credenciales y realizar recordatorios a los usuarios que todavía no hayan completado el proceso.
Cuanto más clara sea esta comunicación, menor será el impacto sobre soporte cuando se produzca la transición.
Tres casos de uso para preparar la migración
La estrategia puede variar dependiendo del entorno de cada organización. Veamos algunos casos de éxito.
Pyme que utiliza Microsoft 365 y MFA por SMS
Pensemos en una empresa de 50 empleados en la que gran parte de la plantilla recibe actualmente códigos SMS.
El primer paso sería identificar quién depende todavía de este método. Después podría seleccionarse un pequeño grupo para probar las passkeys y comprobar su funcionamiento en los dispositivos habituales.
Tras validar el proceso, la empresa podría utilizar las campañas de registro de Entra ID para extender progresivamente el nuevo sistema al resto de usuarios.
Empresa con trabajadores de oficina y movilidad
Una organización puede combinar empleados que trabajan principalmente desde portátiles Windows corporativos con profesionales que utilizan dispositivos móviles.
En este escenario puede resultar conveniente utilizar diferentes alternativas según cada perfil.
Lo importante no es imponer una única tecnología a toda la plantilla, sino establecer un modelo de autenticación coherente con los dispositivos y el nivel de seguridad necesario.
Organización que necesita mantener SMS
Algunas organizaciones pueden tener requisitos técnicos, operativos o regulatorios que hagan necesario conservar temporalmente este canal.
En ese caso, conviene identificar exactamente qué usuarios lo necesitan y estudiar los proveedores compatibles disponibles a través de Microsoft Security Store.
El resto de la organización puede continuar avanzando hacia passkeys u otros métodos resistentes al phishing.
Más que eliminar el SMS: una oportunidad para revisar la seguridad
La retirada del SMS puede parecer inicialmente otro cambio técnico que deberá gestionar el departamento de TI. Sin embargo, también puede convertirse en una oportunidad para revisar cómo se protegen las identidades corporativas.
Al analizar el entorno pueden aparecer usuarios que todavía utilizan métodos antiguos, cuentas con configuraciones diferentes o procedimientos de recuperación que necesitan actualizarse.
Por eso, la transición no debería limitarse a cambiar un método de autenticación por otro.
Es un buen momento para revisar quién accede a los recursos de la empresa, cómo demuestra su identidad y qué ocurre cuando necesita recuperar el acceso.
Empieza a preparar ahora la autenticación de 2027
Microsoft Entra ID está avanzando hacia un modelo en el que los métodos resistentes al phishing tendrán cada vez más protagonismo.
El SMS desempeñó durante años un papel importante en la expansión de la autenticación multifactor, pero las amenazas actuales han hecho necesario evolucionar hacia mecanismos más difíciles de interceptar o manipular.
La transición ya ha comenzado.
Desde septiembre de 2026, Microsoft está impulsando el registro de passkeys entre los usuarios habilitados para SMS y voz. El 1 de febrero de 2027, el servicio de telecomunicaciones proporcionado directamente por Microsoft dejará de estar disponible para los usuarios afectados por esta fase.
Para las empresas, la prioridad debería ser conocer ahora cuántos usuarios siguen dependiendo del SMS, definir qué métodos utilizarán en el futuro y realizar una transición progresiva.
No se trata únicamente de prepararse para una fecha.
Se trata de aprovechar el cambio para avanzar hacia un modelo de autenticación más resistente al phishing y mejor preparado para proteger las identidades corporativas.
¿Quieres que te ayudemos? ¡Rellena el formulario!
