2026年9月1日から何が変わる？Microsoft Entra のパスキー既定化と SMS・音声認証廃止を解説
はじめに
2025年2月以降、Microsoft 365 管理センターへのサインインに対する MFA（多要素認証）の適用が段階的に開始されたことを受け、多くの企業で利用者向けの多要素認証の設定が進んだのではないでしょうか。
以前当ブログでは「Entra ID の認証方法ポリシー、9月末までに移行しないとどうなる？」という記事を公開しました。これは、テナント全体で「SMS や音声認証」の利用をブロックすることをゴールとした、Microsoft 推奨の対応作業を解説したものでした。その後 Microsoft より、2027年2月1日をもって提供する SMS・音声による認証サービスを完全に廃止することが正式に発表されています。
近年は「パスキー」を推奨するサービスが増加しており、フィッシング耐性の高い認証方式として採用する企業も広がっています。こうした流れの中で、直近の変更として2026年9月1日より、多要素認証でSMS や音声認証を利用をしているユーザーに対してパスキーを認証方法にする画面が表示されます。
本記事では、この変更が行われる背景と、企業としてどのような対応を検討すべきかについて整理していきます。
本記事の対象読者
この記事は、以下の読者を対象にしています。
- Microsoft 365 の管理者の方
- Microsoft Entra の管理者の方
- Microsoft Entra を IdP として使う企業のセキュリティ担当の方
Microsoft の変更のポイント
この記事で押さえておきたいポイントは以下の4つです。
- 2026年9月1日からパスキーを優先した登録エクスペリエンスが既定となる
- 2027年2月1日に Microsoft 提供の SMS・音声認証サービスが終了する
- SMS・音声認証を利用しているユーザーにはパスキー登録が推奨される
- SMS・音声認証を継続利用する場合は、顧客管理の通信プロバイダーの利用が必要となる
文章だけでは分かりにくい部分もあるため、本記事では順を追って解説していきます。
ご利用テナントの前提
本記事は、Entra ID の「認証方法ポリシー」を Microsoft 推奨の構成へ移行済み、あるいは移行を予定している環境を前提として記載しています。
以前のブログでも解説した通り、Microsoft は旧来のポリシーから「認証方法ポリシー」への移行を強く推奨しています。後述しているセキュリティ面もそうですが、移行が完了していない場合、利用できる認証方式やユーザー体験に差が生じる可能性もあります。
認証方法ポリシーへ未移行のテナントが存在するため、従来の設定のまま SMS や音声認証を利用できているシナリオもあります。しかし、Microsoft が提供する SMS・音声認証サービス自体が 2027年2月1日に終了することは決定しています。2026年9月1日の変更は、将来のサービス終了に向けて移行を促すための取り組みの一つといえます。
何も対応しないまま 2027年2月1日を迎えるのではなく、今回の変更を「黄色信号」と捉えて、自社テナントの認証設計や運用を見直すきっかけにしていただければ幸いです。
なお、まだ認証方法ポリシーの移行を行っていない場合は、まず以下のブログ記事をご参照ください。
これから何が変わるのか
Microsoft が発表している主なスケジュールと変更内容は以下の通りです。
日付 | 変更内容 |
|---|---|
2026年9月1日 | SMS・音声認証の利用対象者に対し、サインイン時にパスキー登録を促す仕組み（登録キャンペーン）が自動で有効化 |
2027年2月1日 | Microsoft が提供する SMS・音声認証サービスが完全に終了 |
2027年2月1日以降 | SMS・音声認証のみに依存しているユーザーはサインインがブロックされ、パスキー等の別方式の登録が必須化 |
今回の変更の本質は「SMS や電話による MFA を利用しているユーザーを、フィッシング耐性のある認証方式（パスキー等）へ移行させること」にあります。
前回のブログ記事を参考に「認証方法ポリシー」を適切に構成し、すでに SMS や電話による MFA を無効化して Microsoft Authenticator 等を中心とした運用へ移行できている環境であれば、2026年9月1日の変更に伴って管理者が急ぎ対応すべき必須作業は基本的に発生しません。
よくある勘違いポイント
今回の変更について「2026年9月1日以降は全ユーザーがパスキーを登録しなければならない」と受け取られているケースがありますが、それは正しくありません。
今回の主な対象は、「SMS や音声による MFA が有効（許可）になっているユーザー」です。Microsoft がすべての MFA 利用者に対してパスキー登録を一律で強制するわけではありません。
そのため、すでに以下の認証方式 のみ を利用しており、ポリシー上も SMS・音声認証が対象外となっているユーザーは、2026年9月1日のの変更の直接的な対象ではありません。
- Microsoft Authenticator を利用しているユーザー
- FIDO2 セキュリティキーを利用しているユーザー
- Windows Hello for Business を利用しているユーザー
- 既にパスキーを登録しているユーザー
ただし注意が必要なのは、普段上記の認証方式を使っているユーザーであっても、「SMS や音声認証」が設定されている場合です。この場合、Microsoft からパスキー登録を促す通知の対象に含まれる可能性があります。
そのため管理者としては、現在 SMS や音声認証を使っているユーザーに他の認証方式へ移行してもらうだけでなく、今後 SMS や音声認証を利用するユーザーを増やさないよう、テナントの設定（認証方法ポリシー）を変更することが重要となります。
まずは自社テナントにおいて、SMS・音声認証の利用対象者や実際の利用者がどの程度存在しているかを把握することから始めましょう。（確認方法などは前回のブログで解説しています）
SMS・音声認証が必要な場合の対応
業務上の理由などから、すぐに他の認証方法へ移行するのが難しい組織もあるかもしれません。
その場合、2026年9月1日から開始される「SMS・音声認証の利用対象者にパスキー登録を促す仕組み（オプトアウト機能）」については、設定によって一時的に除外（無効化）することが可能です
詳細は Microsoft の公開情報をご確認ください。
ただし、この設定はあくまで 2026年9月1日の登録キャンペーンを一時的に無効化するためのものです。2027年2月1日に予定されている Microsoft 提供の SMS・音声認証サービスの終了自体が免除されるわけではありません。
Passkeys by default and retirement of Microsoft-provided SMS and voice authentication - Microsoft Entra ID
Learn how to prepare for the retirement of Microsoft provided SMS and Voice auth...
learn.microsoft.com
ただし、この設定はあくまで 2026年9月1日の登録キャンペーンを一時的に無効化するためのものです。2027年2月1日に予定されている Microsoft 提供の SMS・音声認証サービスの終了自体が免除されるわけではありません。
2027年2月1日以降は、この除外設定も無効となり、Microsoft が提供する標準の SMS・音声認証は利用できなくなります。
2027年2月1日以降も運用上の理由で SMS や音声による認証を継続したい場合は、Microsoft 提供のサービスではなく、「自社で契約・管理する通信プロバイダー（サードパーティ製のテレフォニープロバイダー）」との連携（Custom Telephony Provider など）が必要となります。
なぜSMS認証や音声認証は廃止されるのか
ここで「なぜ Microsoft は SMS や音声認証を廃止しようとしているのか」という疑問を持つ方もいるかもしれません。その最大の理由は「セキュリティの強化」です。
SMS や電話音声による認証は長年利用されてきましたが、以前から以下のような深刻なセキュリティリスクが指摘されていました。
- SIM スワップ攻撃（偽の本人確認書類などで他人の SIM カードを再発行・乗っ取る攻撃）
- SMS メッセージの盗聴や横取り
- フィッシングサイトによるワンタイムパスワード（OTP）の窃取
- ソーシャルエンジニアリングや MFA 疲弊攻撃（大量の認証要求を送って誤承認させる攻撃）
特に近年は、生成 AI や高度な AitM（Adversary-in-the-Middle）ツールを悪用したフィッシング攻撃が急増しており、従来のワンタイムパスワードに頼った認証だけでは十分な対策とは言えなくなってきています。
このような背景から、Microsoft は SMS や音声認証といった電話ベースの認証から離れ、よりフィッシング耐性の高い認証方式へ移行することを強く推奨しています。
では、その移行先として最も推奨されている「パスキー」や「FIDO2 認証」には、一体どのようなメリットがあるのでしょうか。
パスキー（Passkeys）／FIDO2 認証が推奨される理由
パスキーや FIDO2 認証には様々なメリットがありますが、本記事ではセキュリティ面に注目して解説します。
フィッシング攻撃に非常に強い
パスワードや SMS 認証による OTP（ワンタイムパスワード）は、利用者が誤って偽サイトへ入力してしまうと攻撃者に盗まれてしまいます。一方、パスキーは Web サイトのドメイン情報と強固に紐づいた公開鍵暗号方式を採用しています。
例えば、以下のように巧妙に似せられた偽サイトへ誘導された場合でも、ドメインが異なるためパスキーによる認証自体が成立しません。
- 本物 →
login.microsoftonline.com - 偽物 →
login.micr0s0ft0nline.com
認証情報そのものをユーザーが画面に入力・送信しない仕組みのため、フィッシング耐性が非常に高くなっています。
サービスが侵害されても影響を受けにくい
従来のパスワード認証では、サービス側にパスワード（ハッシュ値）を保存するのが一般的でした。そのため、サービスが攻撃を受けてデータが漏えいした場合、パスワードの解析や他サービスへの「使い回し攻撃」に悪用されるリスクがあります。
一方、パスキーでサーバー側に保存されるのは「公開鍵」のみです。認証に必要な「秘密鍵」は利用者のデバイス内に安全に保管されるため、仮にサーバー側の情報が漏えいしたとしても、それだけで不正サインインされることはありません。
利便性とセキュリティを両立できる
これまでのセキュリティ強化は「安全性を高めるほど利用者の手数が増えて不便になる」というケースが多く見られました。
しかしパスキーでは、「指紋認証」「顔認証」「デバイスの PIN」など、普段使い慣れているデバイスの認証機能をそのまま利用します。そのため、ご利用状況によっては「セキュリティが高まるのに、ユーザーのログイン手順は従来より楽になる」という大きなメリットが得られます。
まとめ
今回の変更は、「2026年9月1日から全ユーザーがパスキーを登録しなければならない」というものではありません。主な対象は、現在 SMS や音声による MFA を利用しているユーザー（および利用が許可されているポリシー設定）です。
Microsoft は 2027年2月1日に提供する SMS・音声認証サービスを終了することを発表しており、これに向けてフィッシング耐性の高い認証方式への移行を促しています。2026年9月1日の変更は、その移行をスムーズに進めるための施策と言えます。
すでに「認証方法ポリシー」への移行を完了し、Microsoft Authenticator を中心とした運用を行っている環境であれば、今回の変更によって急ぎ大きな対応が必要になるケースは多くないでしょう。
一方で、認証方法ポリシーへの移行対応がまだ済んでいない場合や、SMS・音声認証を利用しているユーザーが残っている場合は、早期に利用状況を把握し、代替認証方式への移行計画を検討することをおすすめします。
また、今回の変更は単に SMS・音声認証サービスが使えなくなるという話ではありません。フィッシング被害や認証情報の窃取リスクが高まる中で、より安全な認証方式への移行を推奨しているという Microsoft からのメッセージとも受け取ることができます。
2027年2月1日のサービス終了までに、自社テナントの認証方法ポリシーや MFA の運用状況を改めて確認し、将来を見据えた安全な認証基盤への見直しを進めてみてはいかがでしょうか。
