Quem trabalha em empresa que usa e-mail, Teams ou arquivos da Microsoft já digitou aquele código de seis dígitos que chega por SMS na hora de entrar. Esse hábito tem data para acabar: a Microsoft vai parar de enviar códigos por mensagem de texto e por ligação nos logins corporativos e colocar no lugar as passkeys — as chaves de acesso que usam sua digital, seu rosto ou o PIN do próprio aparelho.
O que muda, e quando
A mudança acontece no Microsoft Entra ID, o serviço que controla o login das empresas nos produtos da Microsoft (é o antigo Azure Active Directory). Ela não é um botão único, e sim um calendário — o que dá tempo para as equipes de TI se prepararem:
- 1º de setembro de 2026: a passkey passa a ser a experiência de login padrão e é habilitada automaticamente para quem hoje usa SMS ou chamada de voz.
- 18 de setembro de 2026: a Microsoft divulga a lista de provedores de telecomunicações para quem ainda precisar de SMS.
- 30 de outubro de 2026: as organizações já podem configurar esses provedores alternativos.
- 1º de fevereiro de 2027: a Microsoft encerra o envio de SMS e voz feito por ela própria.
Em paralelo, segundo o Tecnoblog, a empresa vem enviando e-mails a administradores de TI orientando a troca do SMS por passkeys nos logins corporativos — ou seja, a recomendação já está circulando antes mesmo das datas oficiais.
O que é uma passkey, em português claro
Passkey (ou "chave de acesso") é um jeito de entrar em um serviço sem digitar senha nem código. Em vez disso, você confirma que é você no próprio aparelho: digital, reconhecimento facial ou o PIN do celular/computador. Por trás disso, o dispositivo guarda uma chave secreta que nunca sai dele e responde a um desafio do site. O serviço só recebe a confirmação — não uma senha que possa vazar.
Na prática, isso resolve dois problemas de uma vez. Não existe senha para ser reaproveitada em vários sites, e não existe código para você repassar sem querer a um golpista. Vale lembrar que a sua digital não é enviada para lugar nenhum: ela serve apenas para destravar a chave que já está no aparelho.
Por que o SMS virou o elo fraco
O código por SMS foi um avanço enorme quando chegou: era a forma mais simples de ativar a autenticação em dois fatores (MFA), aquela segunda checagem além da senha. O problema é que ele envelheceu mal diante dos golpes atuais. A própria Microsoft afirma, na documentação do Entra ID, que SMS e voz estão hoje entre os métodos de autenticação mais vulneráveis e que oferecem proteção bem menor contra phishing e roubo de contas do que as passkeys.
- Phishing: um site falso pede seu código e o repassa em tempo real para o site verdadeiro. O código é válido, e o golpista entra.
- SIM swap: o criminoso convence a operadora a transferir seu número para outro chip e passa a receber os seus SMS.
- Interceptação: mensagens de texto trafegam sem criptografia de ponta a ponta e dependem da rede da operadora.
Com a passkey, esse roteiro simplesmente não funciona: a chave só responde ao endereço verdadeiro do site. Se o domínio for falso, não há nada para entregar.
E quem realmente precisa do SMS?
A Microsoft não fecha a porta de vez. Empresas com exigência regulatória, técnica ou operacional para manter SMS e voz vão poder continuar usando — só que contratando um provedor de telecomunicações próprio, configurado pela organização, em vez de contar com o envio embutido no serviço. É uma troca de responsabilidade: quem quiser manter o método antigo passa a bancar e gerenciar essa parte.
O que dá para fazer nas suas contas hoje
Mesmo que você não administre a TI de ninguém, a lógica vale para a sua vida digital — Google, Apple, WhatsApp, bancos e várias lojas já aceitam passkeys:
- Nas contas mais críticas (e-mail principal, banco, redes sociais), procure em Segurança a opção "chave de acesso" ou "passkey" e cadastre uma.
- Se o serviço ainda não tiver passkey, troque o código por SMS por um app autenticador ou uma chave física — ambos são mais resistentes a phishing.
- Cadastre mais de um dispositivo ou um método de recuperação, para não ficar trancado do lado de fora se perder o celular.
- Desconfie de qualquer pessoa que peça um código por telefone ou mensagem. Nenhuma empresa séria faz isso.
A mensagem por trás do anúncio é maior que a Microsoft: o código de seis dígitos está virando tecnologia de transição, e o padrão que vem por aí é entrar sem senha nenhuma. Se a sua empresa usa Entra ID, vale começar a conversa com o time de TI agora — em setembro a mudança chega sozinha, e é melhor que ela encontre todo mundo preparado.
Fontes: Tecnoblog ("Microsoft está em uma cruzada contra o uso de SMS para login"), documentação do Microsoft Entra ID sobre a aposentadoria de SMS e voz (learn.microsoft.com) e o Microsoft Security Blog sobre passkeys como método padrão de autenticação.