Microsoft khai tử xác thực SMS và cuộc gọi thoại từ 2027, bắt buộc dùng Passkeys để chống AI

Theo tin từ IT ngày 23 tháng 7, trang tin công nghệ Windows Latest đã đăng tải bài viết vào hôm qua (22 tháng 7), cho biết Microsoft khẳng định rằng trong kỷ nguyên AI, tin nhắn SMS và cuộc gọi thoại không còn là phương thức xác thực đa yếu tố (MFA) đáng tin cậy. Công ty dự kiến từ ngày 1 tháng 2 năm 2027 sẽ yêu cầu người dùng Microsoft Entra sử dụng "Passkeys".

Lưu ý của IT: Passkeys là phương thức xác thực danh tính dựa trên hệ thống mã hóa khóa công khai, trong đó khóa cá nhân (private key) được lưu trữ trên thiết bị của người dùng và không bao giờ rời khỏi thiết bị đó. Khi đăng nhập, danh tính người dùng sẽ được xác minh thông qua sinh trắc học hoặc mã PIN của thiết bị.

Microsoft chỉ ra rằng các mối đe dọa có sự hỗ trợ của AI đang gia tăng, gây ảnh hưởng nghiêm trọng đến các hệ thống xác thực truyền thống. AI đã thay đổi mô hình kinh tế của các cuộc tấn công lừa đảo (phishing) và kỹ thuật xã hội (social engineering). Kẻ tấn công có thể tận dụng các trang đăng nhập giả mạo, đánh cắp thông tin xác thực tự động và hoán đổi SIM quy mô lớn để hoàn tất cuộc tấn công chỉ trong một nửa thời gian so với trước đây.

Do đó, Microsoft không còn coi tin nhắn SMS và cuộc gọi thoại là phương thức xác thực đa yếu tố đáng tin cậy, đồng thời yêu cầu tất cả khách hàng Microsoft Entra chuyển sang sử dụng Passkeys. Quy định bắt buộc này sẽ có hiệu lực từ ngày 1 tháng 2 năm 2027.

Công ty giải thích rằng:

Là một phần của quá trình chuyển đổi này, kể từ ngày 1 tháng 2 năm 2027, tin nhắn SMS và cuộc gọi thoại sẽ không còn được cung cấp như các phương thức xác thực đa yếu tố.

So với Passkeys, tin nhắn SMS và cuộc gọi thoại không cung cấp đủ mức độ bảo mật. Các phương thức xác thực truyền thống bao gồm mật khẩu, mật khẩu dùng một lần (OTP) qua SMS và xác thực dựa trên giọng nói vẫn dễ bị tổn thương trước các cuộc tấn công lừa đảo, chặn tin nhắn và kỹ thuật xã hội.

Tuyên bố quảng cáo: Các liên kết chuyển hướng bên ngoài trong bài viết (bao gồm nhưng không giới hạn ở siêu liên kết, mã QR, mật khẩu, v.v.) được sử dụng để truyền tải thêm thông tin, giúp tiết kiệm thời gian sàng lọc, kết quả chỉ mang tính chất tham khảo. Tất cả các bài viết trên IT đều bao gồm tuyên bố này.