Microsoft pressiona empresas a abandonar SMS como método de autenticação

A Microsoft enviou um comunicado recente a administradores de TI recomendando que abandonem o envio de códigos por SMS como forma de autenticação em ambientes corporativos, sugerindo a migração para passkeys. A orientação foi dirigida especificamente a quem gerencia login de funcionários e sistemas dentro de empresas, e não representa, pelo menos segundo o que foi divulgado, uma mudança imediata obrigatória para usuários finais. A recomendação da Microsoft se encaixa em um movimento mais amplo do setor de tecnologia, que há alguns anos vem tentando reduzir a dependência de senhas e códigos por mensagem de texto. SMS é conhecido por vulnerabilidades como SIM swap (troca fraudulenta de chip) e interceptação de mensagens, falhas que já geraram prejuízos a usuários no Brasil e no mundo, especialmente em golpes envolvendo contas bancárias e redes sociais. Passkeys, por outro lado, usam criptografia baseada em biometria ou dispositivos confiáveis, dispensando senhas tradicionais e dificultando ataques remotos. Empresas como Google, Apple e diversas fintechs brasileiras já vêm incentivando ou implementando esse tipo de autenticação em seus serviços, então a posição da Microsoft não é isolada, mas reforça uma tendência que já ganhava força no setor corporativo global. Para o leitor brasileiro, isso é relevante porque o país tem um dos maiores índices de fraudes digitais da América Latina, e empresas locais tendem a seguir padrões de segurança ditados por grandes fornecedores de tecnologia, especialmente quando o assunto envolve ambientes corporativos que usam serviços como Microsoft 365 e Azure Active Directory. O movimento da Microsoft pode ser lido como um sinal de que a autenticação por SMS está com os dias contados, ao menos no universo corporativo, ainda que sua substituição total leve tempo — afinal, passkeys exigem adaptação de infraestrutura, treinamento de equipes e, principalmente, mudança de hábito dos usuários, que por décadas se acostumaram a redigitar códigos recebidos por mensagem. Para empresas brasileiras que dependem do ecossistema Microsoft, essa orientação tende a se traduzir, mais cedo ou mais tarde, em atualizações de política de segurança e pressão para que áreas de TI revisem seus protocolos de acesso. Do ponto de vista do consumidor final, o episódio reforça uma mudança cultural que já vinha acontecendo silenciosamente: a ideia de que senha e SMS não são mais suficientes para proteger contas críticas, principalmente em um cenário de aumento de golpes com engenharia social e clonagem de chip. Também chama atenção o fato de a Microsoft optar por comunicar essa orientação de forma direta a administradores, e não como uma mudança forçada e automática — uma estratégia mais cautelosa, que evita atrito com empresas que ainda não têm maturidade técnica para migrar rapidamente de método de autenticação. Isso sugere que a companhia está tentando conduzir uma transição gradual, mas com discurso institucional forte o suficiente para deixar claro qual caminho considera o padrão de segurança do futuro. No fim das contas, essa movimentação da Microsoft tende a acelerar, ainda que aos poucos, a substituição de um método de autenticação que já era criticado por especialistas em segurança há anos, e coloca mais uma vez as grandes empresas de tecnologia como as verdadeiras definidoras de padrões de proteção digital, muitas vezes à frente de reguladores e legislações locais.