公開日: 2026年8月17日
カテゴリ: Security News
対象読者: 一人情シス・情シス担当者
概要
Microsoft は、Microsoft Entra ID の認証方法を大きく見直し、パスキーを既定のサインイン方式にする方針を発表しました。これにより、2026年9月1日からユーザーの一部にパスキー登録が自動で促され、2027年2月1日にはMicrosoft が提供する SMS と音声による MFA が完全に廃止されます。
今回の変更の背景には、SMS や音声認証がフィッシングや SIM スワップ、番号乗り換え、認証コードの傍受に対して弱く、企業にとっては脆弱な認証手段であるという認識があります。今後は、FIDO2・Windows Hello・パスキーといった、証明書や公開鍵暗号を用いる「フィッシング耐性」認証へ移行するのが基本となります。
特に情シス担当者にとっては、ただの認証方式の更新ではなく、ユーザーのサインイン体験、ログイン障害、運用負荷、セキュリティポリシーの再設計まで含む大きな変更と捉える必要があります。
目次
1. 何が変わるのか
Microsoft の方針では、SMS と音声認証は「長期的なセキュリティ手段」ではなく、例外的な運用要件向けの手段として位置づけられます。今後は、パスキーや Windows Hello for Business などのフィッシング耐性の高い認証方式を既定化する設計です。
具体的には、以下の移行が予定されています。
- 2026年9月1日: SMS / 音声を利用しているユーザーに対してパスキー登録が自動で促される
- 2027年2月1日: Microsoft 提供の SMS / 音声認証の提供が終了
- 2027年2月1日以降: SMS / 音声だけが利用可能なユーザーには、サインイン時にブロッキング形式でパスキー登録が要求される
- 例外: 業務上の正当な理由がある場合は、Microsoft Security Store で提供されるカスタム telecom provider を利用できる
これは単なる「MFA の更新」ではなく、見えない認証の脆弱性を排除する大きな構造変更です。特に、企業内で「SMS 認証を使っている率」が意外に高い場合は、早めの対応が必要です。
2. なぜ今、パスキーなのか
攻撃者は、SMS や音声認証の弱点を狙ってきました。たとえば、
- SMS の認証コードをフィッシングサイトに流し込ませる
- SIM スワップや番号乗り換えで電話番号を奪取する
- 音声経由のワンタイムコードを傍受する
- MFA の「通知」を正規のものとして騙す
といった手口が依然として有効です。
一方で、パスキーは共有秘密を使わず、公開鍵暗号により本人確認を行う仕組みです。ユーザーが偽サイトに入力する情報や、コードそのものが流出しても、攻撃者が正規の認証を成立させることは難しくなります。これは、MFA におけるフィッシング耐性の観点で極めて重要な違いです。
Microsoft は、この移行を「セキュリティを既定にする施策」と位置づけており、企業にとってもパスキーが運用の標準になることを見据えています。
3. どこまで自動化されるのか
Microsoft は、2026年9月1日から、SMS / 音声が有効になっているユーザーを対象に、パスキー登録の案内を自動で開始します。ユーザーは MFA を完了したあとに、登録キャンペーンの通知を受け取り、対応を促されます。
ただし、Microsoft の説明によれば、この自動化には一時的な opt-out の余地があるとされています。つまり、企業側が十分な準備を行ってから、移行を開始できる猶予期間が確保されているのです。
とはいえ、この期間はあくまで「遅延措置」であり、2027年2月1日の本格廃止は opt-out なしで適用されます。企業側は、「やる気があるから後で対応する」のではなく、事前の棚卸しとパスキー導入の計画を立てる必要があります。
この点が重要なのは、利用者が最初に「パスキーを登録したことがない」状態で、サインイン時に強制終了を受ける可能性があることです。もし管理者が対象ユーザーを特定せずに放置すると、利用停止やヘルプデスク負荷の増大につながります。
4. 情シス担当者が今すぐ確認すべきこと
企業で Microsoft 365 や Entra ID を利用している場合、現在の対応優先度は高いです。特に以下の項目を今すぐ見直すべきです。
1. SMS / 音声認証を使っているユーザーを洗い出す
- Entra Authentication Methods Policy で有効な利用者を確認
- 旧来の MFA 設定で SMS / 音声が残っていないか確認
- 管理者権限や特権アクセスに対し、SMS 依存がないか確認
2. パスキー導入の準備を開始する
- FIDO2 / Passkey を有効化する
- Windows Hello for Business や Microsoft Authenticator の利用可否を確認する
- 代表的なデバイス種別（Windows / iPhone / Android）で登録手順を検証する
3. 事前のユーザー教育を行う
- 2026年9月1日以降にパスキー登録が必要になることを説明する
- 「届いた SMS コードを入力する」方式から、デバイスベースの認証へ移行する意識を変える
- 画像付きの案内や Teams 通知を使って導線を整理する
4. 例外要件がある場合は telecom provider を確認する
- 法令対応や業務要件で SMS / 音声が必要なユーザーを明文化する
- その場合は Microsoft Security Store を活用した customer-managed telecom provider を検討する
- パスキーが適用できないケースを事前に分離する
5. ログとサインイン失敗の監視を強化する
- 9月以降の登録キャンペーン対象ユーザーの反応を監視する
- 2FA 失敗やログイン中断の増加を確認する
- ヘルプデスク側の問合せフローを前もって整備する
今回の変更は、既存の認証手段を“置き換える”のではなく、認証戦略そのものを再設計する案件です。MFA だけを守っていても、利用方法が脆弱なままだと、会社を取り巻くリスクは残り続けます。
5. まとめ・YJK からのコメント
Microsoft の方針は、パスキーを「利用推奨」ではなく、既定運用として組み込む方向へ明確に進んでいることを示しています。これは、ユーザー認証が単なる利便性の問題ではなく、企業のメール・クラウド・業務システムへのアクセス制御そのものに直結するという認識の表れです。
特に、SMS や音声コードが「一昔前の標準」である今、フィッシング対策やサインインの信頼性を考えると、現行の運用をそのまま維持するのは危険です。これからは、管理者が認証方式の棚卸しと移行計画を先に立てることが、事故を避けるための基本になります。
YJK では、Microsoft Entra ID の認証設計、Passkey 導入計画、認証ポリシーの見直し、ユーザー移行支援まで一貫して支援しています。もし「SMS / 音声認証の廃止前に現在の運用を整理したい」「パスキー導入の最適な順番を決めたい」と考えている場合は、まずは対象ユーザーの棚卸しからご相談ください。
Microsoft Entra ID でパスキーが標準化へ — SMS と音声認証は 2027 年 2 月に廃止のような「見えない脅威」は、通常のレビューでは見落とされやすく、開発基盤の信頼を揺らします。YJK では、開発環境の棚卸し、依存関係の監査、認証情報の見直し、サプライチェーンリスク評価まで一貫して支援します。まずは現在の利用ツールとアクセス権限の確認からご相談ください。