Microsoft siirtää salasanattomaan tunnistautumiseen: tekstiviestivarmistus poistuu helmikuussa 2027
Syynä on tekoälyllä kirjoitettujen kalasteluviestien yleistyminen, jotka yltävät jopa 54 prosentin klikkausasteeseen.
Tiivistelmä
Microsoft muistuttaa, että sen tarjoama tekstiviesti- ja puheluvarmistus poistuu Entra ID -tileiltä 1. helmikuuta 2027, ellei käyttäjällä ole muuta kaksivaiheista tunnistustapaa käytössä. Siirtymä perustuu heinäkuussa julkaistuun pääsyavainten ensisijaisuuteen, ja se liittyy suoraan tekoälyavusteisen kalastelun yleistymiseen.
Alle neljän kuukauden kuluttua suuri osa Microsoft 365 -käyttäjistä ei voi enää varmistaa kirjautumistaan tekstiviestikoodilla tai puhelinsoitolla.
Microsoft muistutti asiasta uudelleen lokakuun lopulla, mutta kyse ei ole uudesta linjauksesta. Yhtiö ilmoitti siirtymästä ensimmäisen kerran Entra-blogissaan 13. heinäkuuta 2026 otsikolla "Passkeys are the default authentication method in Entra ID".
Pääsyavaimista tuli oletusarvoinen tunnistautumistapa 1. syyskuuta 2026. Seuraava etappi on konkreettisempi.
Microsoftin oma tekstiviesti- ja puheluvarmistus poistuu tavallisilta käyttäjiltä 1. helmikuuta 2027. Pääkäyttäjille ja ulkoisille vierailijatileille sama takaraja siirtyy 1. heinäkuuta 2027.
Ne ylläpitäjät, jotka eivät ole valmiita luopumaan tekstiviestivarmistuksesta ajoissa, saavat väliaikaisen porsaanreiän.
Microsoft Security Storen kautta voi 30. lokakuuta alkaen ottaa käyttöön kolmannen osapuolen puhelinoperaattoreita, kuten Sopranon tai Telesignin, varmistuksen jatkamiseksi. Tieto vahvistuu Microsoft 365 -viestikeskuksen julkaisusta MC1426371 ja Microsoft Learnin usein kysytyt kysymykset -sivulta, joka päivitettiin 26. lokakuuta.
Helmikuun jälkeen seuraa pakko niille, joiden ainoa rekisteröity tunnistustapa on Microsoftin tekstiviesti- tai puheluvarmistus.
Kirjautuminen pysähtyy pääsyavaimen rekisteröintikehotteeseen, jota ei voi ohittaa. Käyttäjät, joilla on jo käytössä tunnistussovellus tai aikaperusteinen kertakäyttökoodi, eivät joudu tämän kehotteen piiriin.
Ylläpitäjät voivat lykätä pakkoa korkeintaan helmikuun 2027 takarajaan Graph-rajapinnan passkeyDynamicMigration-lipulla. Pysyvää vapautusta ei ole tarjolla.
Miksi juuri nyt
Microsoft perustelee aikataulua omilla luvuillaan. Yhtiö kertoo heinäkuisessa blogikirjoituksessaan, että tekoälyllä kirjoitetut kalasteluviestit yltävät jopa 54 prosentin klikkausasteeseen, kun perinteiset kalasteluviestit jäävät noin 12 prosenttiin.
Microsoft nimeää suoraan AiTM-tyyppisen kalastelun ja laitekoodikalastelun hyökkäyksinä, joita poisto on tarkoitettu torjumaan – samat tekniikat, joilla rikolliset kaappaavat Microsoft 365 -tileja ohjaamalla uhrin aidon kirjautumissivun kautta.
Microsoft 365 ja Entra ID ovat Suomessa yritysten ja julkisen sektorin yleisin tunnistusalusta, joten takaraja koskettaa suomalaisia IT-ylläpitäjiä suoraan. Kyberturvallisuuskeskus vahvisti 21. toukokuuta 2026, että laitekoodikalastelu on tavoittanut myös suomalaisia organisaatioita.
Juuri tämä on syy, jonka vuoksi heikompien, kalasteltavien tunnistustapojen poistaminen ei ole Microsoftille vain hallinnollinen siistimistoimi.
Mitä tehdä
IT-ylläpitäjien kannattaa tarkistaa Entra ID:n kirjautumislokeista, keillä käyttäjillä on ainoana tunnistautumistapana Microsoftin oma tekstiviesti- tai puheluvarmistus.
Pääsyavainten käyttöönotto kannattaa aloittaa nyt, ennen helmikuun 2027 pakkosiirtymää, jotta se ei häiritse henkilöstön kirjautumista yllättäen.
Tavallisen käyttäjän kannattaa toimia heti, kun Microsoft-tili pyytää pääsyavaimen käyttöönottoa: laitteeseen sidottua sormenjälkeä, kasvotunnistusta tai PIN-koodia ei voi kalastella samalla tavalla kuin tekstiviestikoodia.
Lähteet
- Microsoft Security Blog (13.07.2026)
- Microsoft Learn (26.10.2026)
- Microsoft 365 Message Center (30.10.2026)
- Kyberturvallisuuskeskus (21.05.2026)