Microsoft ได้แจ้งเตือนผู้ดูแลระบบให้ดำเนินการ Migrate การใช้งานของผู้ใช้ Entra ID ไปใช้วิธีการยืนยันตัวตนที่สามารถป้องกันการโจมตีแบบ Phishing ได้ เช่น Passkeys เพื่อเลี่ยงปัญหา Sign-in disruptions หลังจากที่จะเริ่มยกเลิกระบบ SMS first-factor sign-in ในเดือนกุมภาพันธ์ 2027 เป็นต้นไป
ทั้งนี้ ผู้ดูแลระบบยังมีทางเลือกอื่น ๆ รองรับ ได้แก่ การยืนยันตัวตนด้วย QR Code, FIDO2 security keys และวิธีการยืนยันตัวตนรูปแบบอื่น ๆ ที่ Entra ID รองรับ
ก่อนจะถึงกำหนดการดังกล่าว องค์กรต่าง ๆ ควรตรวจสอบให้แน่ใจว่าผู้ใช้งานทั้งหมดเปลี่ยนไปใช้วิธีที่สามารถป้องกัน Phishing ได้แล้ว เนื่องจากผู้ใช้จะไม่สามารถใช้ SMS หรือ Voice เพื่อดำเนินขั้นตอนการยืนยันตัวตนแบบ MFA ในการ Sign-in บัญชีได้อีกต่อไป
Microsoft ระบุในประกาศอัปเดตบน Microsoft 365 Message Center เมื่อวันศุกร์ที่ผ่านมาว่า "การยกเลิกฟีเจอร์ SMS sign-in สำหรับการยืนยันตัวตนแบบ First-factor จะมีผลบังคับใช้แม้ว่าองค์กรของคุณจะใช้งานฟีเจอร์ Choose Your Own Telephony Provider เพื่อทำ MFA ด้วย SMS หรือ Voice ต่อไปก็ตาม"
"หากปัจจุบันองค์กรของคุณใช้งาน SMS sign-in สำหรับการยืนยันตัวตนแบบ First-factor ขอให้ดำเนินการ Migrate ผู้ใช้งานไปยังทางเลือกอื่นที่ระบบรองรับโดยปรับใช้ให้เหมาะสมตาม Scenarios ของผู้ใช้งาน"
ก่อนหน้านี้ Microsoft ได้ทำการยกเลิกระบบ SMS first-factor sign-in สำหรับ Microsoft Entra ID แบบ Free tenants ไปเมื่อเดือนสิงหาคมที่ผ่านมา เนื่องจากความเสี่ยงด้าน Phishing, การฉ้อโกง และการถูกแฮ็กบัญชี และจะไม่มีการเปิดใช้งานฟีเจอร์ SMS sign-in สำหรับ Tenants ที่สร้างขึ้นใหม่อีกต่อไป
กระบวนการยกเลิกนี้มีผลเฉพาะกับการยืนยันตัวตนในกลุ่ม Workforce Tenant ของ Microsoft Entra ID เท่านั้น และจะไม่มีผลกับการยืนยันตัวตนของลูกค้าในกลุ่ม Azure AD B2C หรือ Microsoft Entra External ID
Microsoft ได้เผยแพร่คำแนะนำโดยละเอียดเกี่ยวกับการติดตั้งใช้งาน และการจัดการการยืนยันตัวตนแบบ Passwordless ที่สามารถป้องกันการโจมตีแบบ Phishing ใน Entra ID ไว้บนหน้าเอกสารคู่มือเฉพาะสำหรับเรื่องนี้
Passkey กลายเป็นวิธีการยืนยันตัวตนเริ่มต้นสำหรับ Entra ID แล้ว
ในเดือนกรกฎาคมที่ผ่านมา Microsoft ยังได้ประกาศว่าระบบจะเริ่มทยอยเปิดใช้งาน Passkeys ให้เป็น Default authentication experience สำหรับบริการ Entra ID enterprise identity service ตั้งแต่เดือนนี้เป็นต้นไป
Microsoft ระบุว่า "เมื่อการอัปเดตไปถึงแต่ละองค์กร ผู้ใช้งานที่เปิดใช้การยืนยันตัวตนผ่าน SMS หรือ Voice ไว้ จะถูกเปลี่ยนไปเปิดใช้งาน Passkey โดยอัตโนมัติ และเมื่อผู้ใช้ทำ MFA ในครั้งต่อไป ระบบจะแจ้งเตือนให้ทำการลงทะเบียน Passkey"
"หลังจากการเปลี่ยนผ่านนี้ ในวันที่ 1 กุมภาพันธ์ 2027 Microsoft จะยกเลิกบริการส่งข้อความ และเสียงผ่านเครือข่ายโทรคมนาคมที่ให้บริการโดย Microsoft เอง และจะไม่มีฟีเจอร์การยืนยันตัวตนด้วย SMS และ Voice เป็นความสามารถพื้นฐานของ Microsoft Entra อีกต่อไป"
ผู้ดูแลระบบที่มีบทบาท Global Reader, Authentication Policy Administrator หรือ Security Reader สามารถค้นหารายชื่อผู้ใช้งานที่กำลังยืนยันตัวตนผ่าน SMS หรือ Voice ได้ โดยรันสคริปต์ PowerShell ที่ชื่อว่า Entra SMS/Voice Policy Scanner
สำหรับองค์กรที่มีความจำเป็นต้องใช้การยืนยันตัวตนผ่านโทรศัพท์ จะต้องเข้าไปตั้งค่าเพื่อใช้งานผู้ให้บริการโทรคมนาคมภายนอกผ่านทาง Microsoft Security Store
ที่มา : bleepingcomputer
You must be logged in to post a comment.