novauth
PreçosDocumentaçãoBlogComece grátis
Voltar ao blog
Tendências do SectorPasskeysSMS OTP

A Microsoft Acabou de Retirar a Autenticação por SMS. Eis o Que os Dados Indicam a Seguir

Novauth Team6 min de leitura

A 13 de julho, a Microsoft anunciou que o Entra ID — a plataforma de identidade responsável pelo início de sessão numa grande parte do software empresarial — está a retirar a autenticação multifator por SMS e por voz. Não está a torná-la obsoleta. Está a retirá-la. As passkeys tornam-se o método de autenticação predefinido a partir de setembro de 2026 e, até 1 de fevereiro de 2027, a MFA por SMS e voz fornecida pela Microsoft deixa simplesmente de funcionar para o início de sessão. Os utilizadores que ainda a utilizam são automaticamente inscritos em passkeys; se o SMS ou a voz forem o único método de MFA de alguém, essa pessoa vai deparar-se com um pedido obrigatório para registar uma passkey antes de sequer conseguir iniciar sessão.

Isto não é um fornecedor a empurrar suavemente os clientes para uma opção mais agradável. É um dos maiores fornecedores de identidade do mundo a definir uma data de encerramento para um método de autenticação com 20 anos. Fomos à procura dos dados por trás desta decisão, e a história é maior do que o roteiro de uma única empresa.

O número que a Microsoft realmente citou

A justificação apresentada pela Microsoft não foi abstrata. A empresa apontou para campanhas de phishing assistidas por IA a atingirem taxas de clique até 54%, comparadas com cerca de 12% em tentativas de phishing tradicionais. Os fatores de autenticação suscetíveis a phishing — um código que pode ser induzido a ler em voz alta ou a reencaminhar, uma mensagem que pode ser reencaminhada através de engenharia social — são aquilo que os atacantes estão agora a vencer a uma taxa quase 5 vezes superior à anterior. O SMS OTP encaixa-se perfeitamente nessa categoria: nada num SMS impede que uma página de início de sessão falsa suficientemente convincente simplesmente peça para colar o código.

As passkeys já não são uma aposta de nicho

A infraestrutura para sustentar uma data de retirada como esta já existe a uma escala real. Os números da FIDO Alliance para 2026, com base numa investigação junto de 11 000 consumidores e 1400 responsáveis de decisão empresarial em dez países:

  • 5 mil milhões de passkeys atualmente ativas em todo o mundo
  • 90% de reconhecimento das passkeys por parte dos consumidores
  • 75% dos consumidores já ativaram uma passkey em pelo menos uma conta
  • 68% das organizações implementaram ou estão a implementar ativamente passkeys para o início de sessão dos colaboradores
  • 33% dos consumidores relatam ter sofrido um comprometimento de conta ou uma notificação de violação de dados no último ano — a dor subjacente que está a impulsionar a adoção

Isto já não é território de early adopters. É o caminho predefinido para uma parte significativa dos fluxos de início de sessão da internet, e a decisão da Microsoft torna-o o caminho obrigatório para uma grande fatia da identidade empresarial.

Os dados de fraude que sustentam o "porquê"

Os investigadores de segurança já dizem há algum tempo que o SMS OTP é o elo fraco — o Verizon Data Breach Investigations Report recomenda explicitamente contra o uso de palavras-passe de utilização única por SMS como fator de MFA, citando a exposição ao SIM swap. Os números de fraude confirmam isso, de forma desigual mas clara:

  • O relatório Cifas Fraudscape do Reino Unido registou uma subida das trocas de SIM não autorizadas de 289 para quase 3000 num único ano — um aumento de 1055%.
  • A Austrália registou um aumento homólogo de 240% no número de pessoas a procurar ajuda por fraude de SIM swap e portabilidade de número (IDCARE).
  • Os dados do FBI IC3 dos EUA mostram que o número de queixas de SIM swap está, na verdade, a cair — de 2.026 em 2022 para 982 em 2024 — mas os investigadores alertam que isto provavelmente reflete o facto de as vítimas reportarem a fraude subsequente (contas esvaziadas, criptomoedas roubadas) noutras categorias, e não uma queda real nos ataques, especialmente à medida que os operadores acrescentam fricção que desloca as táticas em vez de as eliminar.
  • A interceção do protocolo SS7 — a falha ao nível da rede que permite a um atacante redirecionar ou ler mensagens SMS sem tocar no telefone da vítima — continua a ser um vetor de ataque ativo; o Metro Bank do Reino Unido e vários bancos alemães já tiveram códigos de 2FA intercetados desta forma, e continuam a surgir relatos de exploração ativa.

Nenhum destes ataques exige quebrar encriptação ou adivinhar uma palavra-passe. Exploram o facto de um número de telefone nunca ter sido concebido para ser uma credencial segura — é um endereço de encaminhamento que pode ser redirecionado, retirado através de engenharia social, ou lido a partir de uma camada de rede anterior aos pressupostos de segurança modernos.

O que isto não resolve — e porque é que isso importa para a verificação

Eis a parte que se perde nos títulos "o SMS morreu": as passkeys resolvem o início de sessão, não a verificação telefónica, e estes são problemas diferentes com a mesma etiqueta de "2FA".

Uma passkey prova que é o mesmo dispositivo/conta que se registou anteriormente. É excelente nisso — resistente a phishing, sem código para intercetar, sem SIM para trocar. Mas não consegue fazer o trabalho para o qual o SMS OTP, o flash call, o WhatsApp OTP e o Telegram OTP foram realmente criados: confirmar que um número de telefone totalmente novo pertence a uma pessoa real e contactável durante o registo, antes de existir qualquer conta ou passkey com que comparar. As passkeys não têm nada contra o qual autenticar na primeira interação de alguém com o seu produto.

Portanto, a mudança realista não é "a verificação desaparece". É que a verificação se divide em duas tarefas com duas ferramentas diferentes:

  • Início de sessão de utilizadores recorrentes → passkeys, cada vez mais por predefinição, seguindo exatamente o caminho que a Microsoft acabou de impor.
  • Verificação telefónica de primeiro contacto → continua a precisar de um canal em tempo real para um número ainda não verificado, o que significa que a escolha do canal — e a sua exposição a fraude de SIM swap, SS7 e AIT — continua a importar imenso. É todo o argumento a favor da verificação por flash call em vez do SMS simples: não herda nenhuma da exposição a SIM swap ou SS7 descrita acima, porque não existe, à partida, nenhum código transmitido como dados para intercetar.

A Microsoft acabou de provar que o sector leva a sério a eliminação do SMS como fator de início de sessão. A próxima pergunta — que canal realmente merece o momento do registo — é precisamente onde isto se torna interessante.

Fontes