קרדיט לתמונה הראשית: Photo by Simon Ray on Unsplash

מיקרוסופט משנה את האופן שבו עובדים בארגונים יוכלו לאמת את זהותם בעת התחברות: החל מ־1 בפברואר 2027 היא תפסיק לספק בעצמה הודעות SMS ושיחות טלפון לאימות רב-שלבי עבור רוב המשתמשים ב־Microsoft Entra ID. החברה מבקשת לעבור למפתחות גישה (Passkeys), שמיועדים לספק הגנה טובה יותר מפני התחזות וגניבת סיסמאות. שינוי נוסף יחול ב־1 ביולי 2027 על מנהלי מערכת גלובליים ומשתמשים חיצוניים.

צריך להדגיש את הגבולות: זו לא הודעה שמבטלת SMS בכל מוצרי מיקרוסופט, וגם לא איסור מוחלט על כל אפשרות להשתמש בהודעות טקסט בארגון. מדובר בפרישה של שירות האימות הטלפוני שמיקרוסופט עצמה מספקת ל־Entra ID, לצד אפשרות לארגונים מסוימים להתחבר לספק טלפוניה חיצוני דרך Microsoft Security Store.

חמש נקודות מרכזיות

• 1 בפברואר 2027: אימות SMS וקול שסיפקה מיקרוסופט יופסק עבור רוב משתמשי Entra ID, כולל אורחים פנימיים.
• 1 ביולי 2027: הפרישה תורחב גם ל־Global Administrators ולמשתמשים חיצוניים כהגדרתם במדיניות.
• מ־1 בספטמבר 2026: Passkeys הופעלו אוטומטית כאפשרות למי שהיו מוגדרים לשימוש ב־SMS או בקול.
• מה יקרה בלי חלופה: משתמשים שהאפשרות היחידה שלהם הייתה SMS או קול יידרשו לרשום Passkey כדי להמשיך להתחבר.
• חריג חשוב: ארגונים יכולים במקרים מתאימים להמשיך טלפוניה באמצעות ספק חיצוני מוגדר, בהתאם למדיניות.

למה מיקרוסופט רוצה לעזוב את הודעות ה־SMS?

הודעות טקסט וקודי אימות חד-פעמיים חשופים לסיכונים שאינם קיימים באותה מידה במפתחות גישה: עבריין יכול להקים אתר התחזות ולבקש מהקורבן להקליד בו קוד, או להשתלט על מספר הטלפון בתרמיות SIM Swap. גם שיחה קולית לצורך קבלת קוד אינה חסינה משיטות כאלה. מיקרוסופט מציגה את המעבר כחלק ממדיניות של אימות עמיד לפישינג.

Passkey תקני משתמש בזוג מפתחות קריפטוגרפיים, כאשר המפתח הפרטי נשמר במכשיר או במנהל מפתחות מוגן והמפתח הציבורי נרשם אצל השירות. המשתמש מאשר כניסה במכשירו, למשל באמצעות זיהוי ביומטרי או קוד נעילה, מבלי למסור לאתר סיסמה שאפשר להקליד בדומיין מתחזה.

על אילו משתמשים וארגונים מדובר?

Microsoft Entra ID היא מערכת ניהול הזהויות וההרשאות של מיקרוסופט, שמשמשת ארגונים כדי לאפשר גישה לדוא"ל עסקי, למערכות ענן וליישומי עבודה. לפי התיעוד הרשמי, השינוי ייכנס לתוקף בשני שלבים. רוב העובדים הכלולים במדיניות יושפעו בפברואר 2027, בעוד שמשתמשים חיצוניים ומנהלים גלובליים יקבלו זמן נוסף עד יולי. משתמשי אורח פנימיים נכללים בשלב פברואר.

ארגונים שיש להם צורך עסקי, רגולטורי או תפעולי להמשיך במנגנון טלפוני יוכלו להגדיר ספק טלפוניה מתאים. האפשרות הזאת אינה הופכת SMS לשיטה מאובטחת כמו Passkey, והיא דורשת תכנון ויישום ברמת מנהל המערכת.

מה יקרה לעובד שעדיין משתמש רק בקוד לטלפון?

מיקרוסופט מתארת תהליך שבו משתמשים הכלולים בפרישה, ואין להם שיטת אימות מתאימה אחרת, יקבלו הודעה מחייבת על רישום Passkey בזמן התחברות. הם לא יוכלו לדלג על הרישום ולהמשיך להשתמש בשירות SMS שסופק על ידי מיקרוסופט. לכן מומלץ למחלקות IT להיערך מראש, לבדוק אילו עובדים תלויים בקודים ישנים, לספק הנחיות ולעזור למי שאין להם טלפון חכם מתאים או שאינם מסוגלים להשתמש בשיטת האימות המוצעת.

יש לבדוק גם תהליכי שחזור גישה: מה קורה כשעובד מאבד טלפון, מחליף מכשיר או עוזב את החברה. מעבר למפתחות גישה בלי תוכנית גיבוי עלול ליצור תקלות תפעוליות אף שהוא משפר את ההגנה מפני פישינג.

מה ההבדל בין מפתח גישה לבין אימות דו-שלבי?

באימות דו-שלבי קלאסי המשתמש מקליד סיסמה ואחריה קוד זמני. מפתח גישה יכול לאפשר כניסה המבוססת על פעולה קריפטוגרפית שמתאימה לדומיין האמיתי. מבחינת אבטחה, זה שינוי מהותי: לא ניתן להעתיק קוד חד-פעמי ולהשתמש בו באתר אחר באותה קלות. אבל המנגנון אינו מונע כל סוג של פריצה, במיוחד אם תוקף משתלט על מכשיר פתוח או על סשן שכבר נוצר.

הזווית הישראלית: מה צריכים לבדוק עסקים?

ארגונים ישראליים שמשתמשים במיקרוסופט 365 וב־Entra ID צריכים לבדוק מול מנהלי המערכת איזה מנגנון אימות פעיל בפועל. לא כל חשבון Outlook אישי מושפע מאותם כללים, ולא כל לקוח עסקי משתמש בטלפוניה שמיקרוסופט מספקת. כדאי להסדיר מפתחות גיבוי ותהליך תמיכה לעובדים לפני מועד השינוי ולא להמתין לחסימת התחברות.

למי שרוצים הסבר נגיש על הדרך החדשה להתחבר לחשבונות, הכנו את מדריך Passkeys: מה זה ואיך מתחברים בלי סיסמה?. הוא מסביר גם איך להגדיר מפתח גישה בחשבון גוגל, איך מתבצע שחזור ומהם היתרונות והחסרונות.

אחרי מה לעקוב?

לעדכוני התיעוד של מיקרוסופט על לוחות הזמנים, ליכולת השימוש בספקי טלפוניה חלופיים ולנתונים על שיעור העובדים שהספיקו להגדיר מפתח גישה. לכל ארגון חשוב לבדוק את המדיניות שחלה על סוג המשתמשים והמערכת שבה הוא משתמש.

מקורות: תיעוד מיקרוסופט על המעבר; שאלות ותשובות רשמיות.