Microsoft dejará de enviar códigos por SMS para entrar a las cuentas personales
Las llaves de acceso y el correo verificado reemplazarán a los mensajes de texto, y las organizaciones tienen como fecha límite el 1 de febrero de 2027
Microsoft empezó a retirar los mensajes de texto (SMS) como método para verificar el inicio de sesión y recuperar el acceso en las cuentas personales. La empresa lo explicó en una página de soporte: sostiene que el SMS es hoy “una de las principales fuentes de fraude”.
Qué son las llaves de acceso y por qué reemplazan al SMS
Una llave de acceso permite entrar a una cuenta con la huella, el reconocimiento facial o el PIN del dispositivo, sin escribir contraseña ni código. Según Microsoft, es un método resistente al phishing —engaño para robar datos mediante mensajes o páginas falsas— y más rápido que el SMS.
La empresa afirma que el SMS es vulnerable al phishing y a los ataques de duplicado de la tarjeta SIM, en los que un delincuente consigue controlar el número de teléfono de la víctima, y lo describe como uno de los métodos más usados para tomar el control de cuentas ajenas.
Microsoft añade que el correo verificado y las llaves de acceso permiten recuperar la cuenta aunque el usuario cambie de número o pierda el teléfono. Las llaves también pueden crearse con cuentas de Apple o Google mediante el inicio de sesión con un clic, y el usuario recibirá una guía para agregar el correo verificado y configurar la llave.
Para las organizaciones que usan Microsoft Entra ID, el servicio de identidad de la compañía, el calendario es más preciso. Desde el 1 de septiembre de 2026, las llaves de acceso serán el método predeterminado: los usuarios habilitados para SMS o voz quedarán habilitados automáticamente, y la próxima vez que completen la verificación en dos pasos, el sistema les pedirá registrar una. Por defecto pueden posponer ese aviso sin límite.
El 1 de febrero de 2027, Microsoft dejará de ofrecer el envío de SMS y llamadas de voz para esa verificación, salvo para administradores globales y usuarios externos. Para ellos, el retiro será el 1 de julio de 2027, según Microsoft Learn.
Después de esas fechas, quien solo tenga SMS o voz deberá registrar una llave de acceso para poder entrar, sin opción de omitir ese paso. Las llaves ya registradas y Windows Hello seguirán funcionando.
Las empresas que necesiten conservar SMS o voz por motivos regulatorios o técnicos podrán contratar a un proveedor de telefonía a través de Microsoft Security Store. Soprano y Telesign son los primeros proveedores disponibles en la vista previa privada, y los costos correrán por cuenta del cliente.
Qué puede hacer el usuario ahora
Microsoft recomienda crear una llave de acceso cuando el sistema la sugiera, o seguir los pasos de su página de ayuda “Signing in with a passkey” (“Iniciar sesión con una llave de acceso”), y agregar un correo de recuperación verificado.
La seguridad de las llaves no está libre de críticas: TechRadar recordó que en 2025 investigadores de la firma SquareX presentaron hallazgos según los cuales los navegadores pueden ser explotados para saltarse sus protecciones.
