Microsoft Minta Pengguna Entra ID Beralih ke Passkey, Autentikasi SMS dan Telepon Dihentikan Mulai Februari 2027
Microsoft kembali mengingatkan administrator Microsoft Entra ID untuk segera memigrasikan pengguna dari autentikasi berbasis SMS dan panggilan telepon menuju metode yang lebih aman, terutama passkey. Langkah ini dilakukan menjelang penghentian layanan autentikasi SMS dan suara yang disediakan langsung oleh Microsoft mulai 1 Februari 2027.
Peringatan tersebut disampaikan melalui Microsoft 365 Message Center pada 27 Oktober 2026. Microsoft menegaskan bahwa organisasi yang masih mengandalkan SMS atau panggilan telepon untuk Multi-Factor Authentication (MFA) perlu menyelesaikan migrasi sebelum perubahan diberlakukan.
Jika tidak, sebagian pengguna berisiko mengalami gangguan ketika mencoba masuk ke akun kerja mereka karena metode autentikasi yang sebelumnya digunakan tidak lagi tersedia.
Microsoft merekomendasikan passkey sebagai metode pengganti utama karena menawarkan perlindungan yang lebih kuat terhadap phishing, pencurian kredensial, dan serangan SIM swapping.
Namun, perubahan ini bukan berarti seluruh penggunaan autentikasi SMS dan panggilan telepon akan dihapus dari ekosistem Microsoft. Organisasi yang masih membutuhkannya dapat menggunakan penyedia telekomunikasi pihak ketiga melalui Microsoft Security Store.
Microsoft Hentikan Autentikasi SMS dan Telepon Mulai 1 Februari 2027
Microsoft telah menetapkan jadwal penghentian layanan SMS dan voice authentication yang selama ini disediakan secara langsung melalui Microsoft Entra ID.
Perubahan tersebut berlaku pada layanan autentikasi identitas karyawan atau workforce identity, termasuk skenario MFA yang menggunakan kode verifikasi SMS maupun panggilan telepon.
Selama ini, metode tersebut digunakan banyak organisasi karena relatif mudah diterapkan dan tidak membutuhkan perangkat keamanan khusus.
Ketika pengguna masuk ke akun perusahaan, sistem dapat mengirimkan kode melalui SMS atau melakukan panggilan telepon sebagai langkah verifikasi tambahan.
Namun, menurut Microsoft, metode tersebut tidak lagi memberikan tingkat perlindungan yang memadai terhadap teknik serangan modern.
Mulai 1 Februari 2027, layanan pengiriman kode dan verifikasi melalui telekomunikasi yang dikelola langsung oleh Microsoft akan dihentikan untuk sebagian besar pengguna Entra ID.
Berdasarkan dokumentasi resmi Microsoft, terdapat jadwal berbeda untuk kelompok pengguna tertentu.
| Tanggal | Perubahan |
|---|---|
| 1 September 2026 | Passkey mulai diaktifkan secara otomatis sebagai metode autentikasi bagi pengguna yang sebelumnya menggunakan SMS atau voice |
| 30 Oktober 2026 | Organisasi dapat mulai mengonfigurasi penyedia telekomunikasi melalui Microsoft Security Store |
| 1 Februari 2027 | Autentikasi SMS dan voice bawaan Microsoft dihentikan untuk sebagian besar pengguna workforce |
| 1 Juli 2027 | Penghentian diperluas kepada Global Administrator dan pengguna eksternal yang termasuk dalam cakupan kebijakan |
Microsoft menjelaskan bahwa akun internal guest tetap mengikuti tenggat 1 Februari 2027, bukan jadwal 1 Juli.
Organisasi diminta menyelesaikan migrasi sebelum tenggat masing-masing agar pengguna tidak menghadapi gangguan ketika melakukan autentikasi.
Pengguna yang Hanya Mengandalkan SMS Bisa Terganggu Saat Login
Salah satu dampak terbesar perubahan ini adalah kemungkinan terganggunya proses login bagi pengguna yang belum memiliki metode MFA alternatif.
Setelah penghentian berlaku, pengguna yang hanya memiliki SMS atau panggilan telepon sebagai metode MFA tidak dapat terus mengandalkan mekanisme tersebut untuk menyelesaikan autentikasi seperti sebelumnya.
Microsoft akan mewajibkan pengguna dalam cakupan kebijakan tersebut mendaftarkan passkey sebelum dapat melanjutkan proses masuk ke akun mereka.
Permintaan pendaftaran ini bersifat wajib dan tidak dapat dilewati setelah tenggat penghentian berlaku.
Namun, kondisi tersebut tidak berarti seluruh akun pengguna akan langsung terkunci secara permanen.
Microsoft telah menyiapkan alur migrasi agar pengguna dapat mendaftarkan metode autentikasi pengganti.
Bagi pengguna yang sudah memiliki metode lain yang didukung, proses login dapat tetap dilakukan menggunakan metode tersebut sesuai kebijakan organisasi.
Risiko gangguan terutama muncul ketika pengguna tidak memiliki alternatif autentikasi atau perangkat yang diperlukan untuk menyelesaikan pendaftaran passkey.
Karena itu, Microsoft meminta administrator tidak menunggu hingga batas waktu penghentian untuk memulai proses migrasi.
Mengapa Microsoft Menganggap SMS Tidak Lagi Aman?
Keputusan Microsoft menghentikan autentikasi SMS dan panggilan telepon dilatarbelakangi meningkatnya ancaman terhadap metode verifikasi berbasis jaringan telekomunikasi.
Meskipun SMS OTP memberikan lapisan perlindungan tambahan dibandingkan penggunaan password saja, metode ini tetap memiliki sejumlah kelemahan.
Salah satu ancaman utama adalah SIM swapping, yaitu serangan ketika pelaku berhasil mengambil alih nomor telepon korban melalui manipulasi proses penggantian kartu SIM atau layanan operator.
Apabila berhasil menguasai nomor tersebut, penyerang dapat menerima SMS verifikasi yang seharusnya dikirimkan kepada pemilik akun.
Dengan demikian, kode OTP tidak lagi menjadi faktor autentikasi yang sepenuhnya berada dalam kendali pengguna sah.
Selain SIM swapping, kode SMS juga rentan terhadap phishing.
Penyerang dapat membuat halaman login palsu yang menyerupai layanan Microsoft, kemudian meminta korban memasukkan username, password, dan kode OTP.
Dalam serangan adversary-in-the-middle (AiTM), pelaku bahkan dapat meneruskan proses autentikasi kepada layanan asli secara real-time sambil mencuri informasi sesi login.
Panggilan telepon sebagai metode MFA juga memiliki risiko serupa, termasuk penyalahgunaan social engineering.
Karena kode atau persetujuan autentikasi dapat dimanipulasi melalui interaksi dengan pengguna, Microsoft menilai pendekatan tersebut tidak lagi ideal untuk perlindungan identitas perusahaan.
Passkey Jadi Metode Autentikasi Utama Microsoft Entra ID
Sebagai pengganti SMS dan panggilan telepon, Microsoft merekomendasikan penggunaan passkey, metode autentikasi yang menggunakan teknologi kriptografi kunci publik.
Berbeda dari password atau OTP, passkey tidak mengandalkan kode rahasia yang harus diketik dan dikirimkan kepada server setiap kali pengguna melakukan autentikasi.
Sebaliknya, passkey menggunakan pasangan kunci kriptografi yang terdiri dari public key dan private key.
Public key didaftarkan pada layanan autentikasi, sedangkan private key disimpan secara aman pada perangkat pengguna atau pengelola kredensial yang kompatibel.
Ketika pengguna mencoba login, sistem menjalankan proses verifikasi kriptografis untuk memastikan bahwa perangkat memiliki private key yang sesuai.
Private key tersebut tidak perlu dikirimkan kepada server.
Mekanisme ini membuat passkey lebih tahan terhadap phishing karena autentikasi terikat pada identitas layanan yang sah.
Dengan demikian, halaman login palsu tidak dapat begitu saja memperoleh kredensial yang dapat digunakan kembali untuk masuk ke akun Microsoft.
Passkey juga membantu mengurangi ketergantungan terhadap SMS, panggilan telepon, dan kode OTP yang dapat dicuri.
Microsoft Dukung Synced Passkeys dan Device-Bound Passkeys
Dalam Microsoft Entra ID, terdapat dua pendekatan utama penggunaan passkey.
Pertama adalah synced passkeys, yaitu passkey yang disimpan pada pengelola kredensial dan dapat disinkronkan ke beberapa perangkat pengguna.
Contohnya adalah passkey yang dikelola melalui iCloud Keychain atau Google Password Manager.
Dengan mekanisme ini, pengguna dapat mengakses passkey dari beberapa perangkat yang terhubung dengan akun pengelola kredensial yang sama.
Pendekatan tersebut memberikan kemudahan penggunaan, terutama bagi karyawan yang sering berpindah antara laptop, smartphone, dan perangkat kerja lainnya.
Metode kedua adalah device-bound passkeys, yaitu passkey yang terikat pada perangkat atau hardware keamanan tertentu.
Contohnya mencakup passkey pada Microsoft Authenticator, Entra Passkey di Windows, dan hardware security key yang mendukung FIDO2.
Metode ini dapat digunakan pada lingkungan yang membutuhkan kontrol lebih ketat terhadap lokasi penyimpanan kredensial.
Bagi organisasi dengan persyaratan keamanan tinggi, device-bound passkeys dapat memberikan tingkat pengendalian tambahan karena private key tidak disinkronkan secara bebas antarperangkat.
Pemilihan kedua metode tersebut bergantung pada kebijakan keamanan, perangkat yang digunakan, serta kebutuhan operasional perusahaan.
Windows Hello dan FIDO2 Bisa Menjadi Alternatif
Selain passkey yang disimpan melalui pengelola kredensial, Microsoft Entra ID juga mendukung sejumlah metode autentikasi lain.
Salah satunya adalah Windows Hello for Business, yang memungkinkan pengguna melakukan autentikasi menggunakan PIN atau biometrik pada perangkat Windows yang dikonfigurasi untuk kebutuhan perusahaan.
Dengan Windows Hello for Business, kredensial autentikasi dilindungi melalui mekanisme berbasis perangkat dan kriptografi, bukan hanya password konvensional.
Pengguna juga dapat memanfaatkan FIDO2 security key sebagai perangkat keamanan fisik.
Security key seperti ini dapat digunakan melalui USB, NFC, atau koneksi lain yang didukung perangkat.
Keunggulan utama FIDO2 terletak pada kemampuannya melakukan autentikasi yang terikat pada layanan tujuan sehingga lebih sulit disalahgunakan melalui halaman phishing.
Sementara itu, metode berbasis kode seperti Time-based One-Time Password (TOTP) masih dapat digunakan pada skenario yang didukung kebijakan organisasi.
Namun, perlu dibedakan bahwa TOTP tidak memiliki karakteristik phishing-resistant yang sama dengan passkey atau FIDO2.
Karena itu, Microsoft tetap menempatkan passkey sebagai rekomendasi utama untuk peningkatan keamanan autentikasi.
Passkey Mulai Menjadi Default Sejak September 2026
Migrasi menuju passkey sebenarnya sudah dimulai Microsoft sebelum pengingat terbaru diterbitkan.
Pada Juli 2026, perusahaan mengumumkan bahwa passkey akan menjadi pengalaman autentikasi default untuk Microsoft Entra ID mulai September 2026.
Melalui perubahan tersebut, pengguna yang sebelumnya diizinkan menggunakan SMS atau panggilan telepon secara otomatis mulai dimasukkan ke dalam cakupan kebijakan passkey.
Ketika pengguna melakukan MFA, Microsoft dapat menampilkan permintaan untuk mendaftarkan passkey.
Pendekatan ini bertujuan mempercepat adopsi passkey tanpa mengharuskan administrator mengonfigurasi setiap akun secara manual.
Microsoft menggunakan mekanisme Registration Campaign untuk mengarahkan pengguna menuju metode autentikasi yang lebih aman.
Selama periode transisi, permintaan pendaftaran dapat ditunda sesuai konfigurasi kebijakan yang berlaku.
Namun, setelah penghentian SMS dan voice diberlakukan bagi kelompok pengguna terkait, pendaftaran passkey dapat menjadi persyaratan wajib untuk melanjutkan proses login.
Microsoft juga menyediakan opsi pengecualian sementara terhadap aktivasi otomatis selama periode persiapan.
Meski demikian, pengecualian tersebut tidak menghapus kewajiban migrasi setelah batas waktu penghentian berlaku.
Administrator Bisa Mengidentifikasi Pengguna SMS melalui PowerShell
Untuk membantu organisasi mempersiapkan migrasi, Microsoft menyediakan tool bernama Entra SMS/Voice Policy Scanner.
Tool berbasis PowerShell ini dirancang untuk mengidentifikasi pengguna serta kelompok yang masih termasuk dalam cakupan kebijakan autentikasi SMS dan panggilan telepon.
Melalui pemeriksaan tersebut, administrator dapat memperoleh gambaran mengenai jumlah akun yang perlu diprioritaskan sebelum penghentian layanan.
Scanner dapat menampilkan status kebijakan autentikasi SMS dan voice, cakupan pengguna atau grup, serta konfigurasi Registration Campaign.
Tool tersebut juga mendukung ekspor informasi ke file CSV untuk membantu proses inventarisasi.
Menurut Microsoft, pemeriksaan dapat dilakukan oleh administrator yang memiliki salah satu peran berikut: Authentication Policy Administrator, Global Reader, atau Security Reader.
Hasil pemeriksaan dapat digunakan untuk menyusun rencana migrasi berdasarkan kelompok pengguna, kebutuhan operasional, maupun metode autentikasi yang telah tersedia.
Namun, administrator tetap perlu memverifikasi apakah pengguna benar-benar telah mendaftarkan dan berhasil menggunakan metode pengganti.
Keberadaan akun dalam kebijakan passkey tidak otomatis berarti pengguna telah menyelesaikan pendaftaran kredensial tersebut.
Organisasi Masih Bisa Mempertahankan SMS melalui Penyedia Telekomunikasi
Meski Microsoft menghentikan layanan pengiriman SMS dan voice bawaan Entra ID, perusahaan tetap menyediakan mekanisme bagi organisasi yang memiliki kebutuhan khusus terhadap autentikasi berbasis telepon.
Solusi tersebut dikenal sebagai Customer-Managed Telecom Provider (CYOT).
Melalui pendekatan ini, organisasi dapat menggunakan penyedia telekomunikasi pihak ketiga yang tersedia melalui Microsoft Security Store.
Microsoft menyebut Soprano dan Telesign sebagai penyedia awal dalam program tersebut.
Opsi ini ditujukan bagi organisasi yang masih membutuhkan autentikasi SMS atau panggilan telepon karena alasan operasional, teknis, atau kepatuhan terhadap regulasi tertentu.
Sebagai contoh, sebagian organisasi mungkin memiliki sistem lama atau kelompok pengguna yang belum dapat menggunakan metode autentikasi modern.
Dengan penyedia telekomunikasi pihak ketiga, layanan SMS dan voice tetap dapat digunakan sesuai kebijakan organisasi.
Namun, perusahaan harus mengonfigurasi penyedia tersebut sebelum tenggat penghentian yang berlaku.
Selain itu, biaya penggunaan layanan telekomunikasi menjadi tanggung jawab organisasi sesuai penawaran penyedia yang dipilih.
Microsoft menegaskan bahwa opsi ini tidak mengubah rekomendasi keamanan utama untuk menggunakan passkey.
SMS dan panggilan telepon tetap dianggap memiliki perlindungan yang lebih lemah terhadap phishing dibandingkan autentikasi berbasis FIDO2.
Tidak Semua Layanan Microsoft Terkena Perubahan
Microsoft juga menjelaskan bahwa penghentian SMS dan voice authentication tidak berlaku secara menyeluruh terhadap seluruh layanan identitas perusahaan.
Perubahan yang diumumkan secara khusus menargetkan skenario autentikasi Microsoft Entra ID workforce tenant.
Artinya, kebijakan ini terutama relevan bagi organisasi yang menggunakan Entra ID untuk mengelola identitas karyawan dan akses terhadap aplikasi perusahaan.
Sementara itu, Azure AD B2C tidak termasuk dalam cakupan penghentian yang diumumkan.
Microsoft Entra External ID yang digunakan dalam skenario identitas pelanggan juga tidak mengikuti perubahan ini pada jadwal yang sama.
Microsoft menyatakan bahwa perubahan untuk layanan External ID akan diumumkan secara terpisah.
Selain itu, jadwal yang telah diumumkan berlaku untuk lingkungan public cloud Microsoft Entra ID, sedangkan lingkungan cloud lainnya dapat mengikuti jadwal berbeda.
Dengan demikian, administrator perlu memastikan jenis tenant dan lingkungan cloud yang digunakan sebelum menerapkan rencana migrasi.
Pengguna akun Microsoft pribadi juga tidak seharusnya mengartikan pengumuman ini sebagai penghentian seluruh metode verifikasi SMS pada semua layanan Microsoft mulai Februari 2027.
Langkah yang Perlu Dilakukan Administrator Entra ID
Dengan tenggat penghentian yang semakin dekat, Microsoft meminta organisasi segera mempersiapkan perubahan autentikasi.
Langkah pertama adalah melakukan inventarisasi pengguna yang masih mengandalkan SMS atau panggilan telepon.
Administrator perlu memprioritaskan akun yang tidak memiliki metode MFA alternatif karena kelompok tersebut paling berisiko mengalami gangguan login.
Setelah pengguna terdampak teridentifikasi, organisasi dapat menyiapkan kebijakan passkey melalui Microsoft Entra admin center.
Pengaturan tersebut tersedia pada bagian Authentication Methods dan Registration Campaign.
Administrator perlu memastikan bahwa pengguna yang menjadi target migrasi memiliki akses terhadap perangkat atau pengelola kredensial yang mendukung passkey.
Selanjutnya, organisasi dapat menjalankan proses pendaftaran secara bertahap dengan memberikan panduan kepada karyawan.
Pengujian juga diperlukan untuk memastikan metode autentikasi baru benar-benar dapat digunakan sebelum SMS dan voice dinonaktifkan.
Bagi organisasi yang masih membutuhkan SMS atau panggilan telepon, konfigurasi penyedia telekomunikasi pihak ketiga sebaiknya diselesaikan sebelum tenggat.
Microsoft juga merekomendasikan komunikasi internal yang jelas kepada pengguna dan tim helpdesk agar proses transisi tidak menimbulkan kebingungan.
Hal ini penting karena perubahan metode login dapat memengaruhi rutinitas kerja karyawan, terutama mereka yang selama ini hanya terbiasa menggunakan kode OTP melalui ponsel.
Penghentian SMS Jadi Bagian dari Strategi Passwordless Microsoft
Keputusan Microsoft menghapus autentikasi SMS dan voice bawaan Entra ID menunjukkan perubahan arah keamanan identitas menuju metode yang lebih tahan terhadap serangan phishing.
Selama bertahun-tahun, SMS OTP menjadi salah satu mekanisme MFA yang paling mudah diterapkan karena hampir seluruh pengguna memiliki nomor telepon.
Namun, perkembangan teknik phishing, SIM swapping, dan pencurian sesi autentikasi membuat metode tersebut tidak lagi cukup untuk menghadapi berbagai ancaman modern.
Microsoft kini menempatkan passkey sebagai bagian penting dari strategi passwordless authentication, yaitu pendekatan autentikasi yang mengurangi ketergantungan terhadap password dan kode verifikasi yang dapat dicuri.
Dengan menggunakan mekanisme kriptografi, passkey memberikan perlindungan tambahan terhadap penyalahgunaan kredensial.
Bagi organisasi, perubahan ini bukan hanya pergantian metode login, tetapi juga kesempatan untuk meninjau kembali kebijakan akses pengguna secara menyeluruh.
Akun dengan hak akses tinggi, perangkat yang tidak dikelola, serta prosedur pemulihan akun perlu mendapatkan perhatian khusus selama proses migrasi.
Meski demikian, penggunaan passkey tidak menghilangkan seluruh risiko keamanan identitas.
Organisasi tetap membutuhkan kebijakan akses yang tepat, pengelolaan perangkat, pemantauan aktivitas login, serta prosedur pemulihan akun yang aman.
Dengan penghentian layanan SMS dan voice mulai 1 Februari 2027, Microsoft memberikan waktu bagi administrator Entra ID untuk menyelesaikan proses transisi sebelum kebijakan baru diberlakukan.
Bagi perusahaan yang masih mengandalkan OTP melalui SMS atau panggilan telepon, migrasi lebih awal dapat membantu menghindari gangguan operasional sekaligus meningkatkan perlindungan akun terhadap serangan phishing dan pencurian identitas.
Sumber: Microsoft — Passkeys by Default and Retirement of Microsoft-Provided SMS and Voice Authentication
