Entra ID: el SMS de Microsoft deja de servir para recuperar la contraseña en 2027

Microsoft avisó el 3 de noviembre de 2026, en el centro de mensajes de Microsoft 365 (aviso MC1536049), que el SMS y la llamada de voz que provee Microsoft van a dejar de servir para el restablecimiento de contraseña por autoservicio (SSPR, por sus siglas en inglés) de Microsoft Entra ID, la función que te deja recuperar la contraseña de tu cuenta de trabajo o de escuela sin llamar a la mesa de ayuda. Es la consecuencia, para la contraseña, del retiro del SMS en Entra ID como método de inicio de sesión, que Microsoft ya había fijado para 2027. Para la mayoría de los usuarios, ese retiro empieza a desplegarse el 1 de febrero de 2027, y desde que le llega a cada organización corren 50 días de transición.

A quién le afecta: según el aviso, a las organizaciones con usuarios que dependen del SMS o la llamada de Microsoft para verificar su identidad al resetear la contraseña, aunque ya entren a la cuenta con otro método. Si tu empresa te deja resetear la contraseña solo y el código te llega por mensaje de texto o por una llamada de Microsoft, esto es para vos, salvo que tu organización use su propio proveedor de telefonía. El aviso es de Entra ID, el sistema de las cuentas de trabajo y de escuela.

Qué hacer hoy: si sos usuario, entrá con tu cuenta de trabajo a la página Información de seguridad de Mis inicios de sesión y mirá qué métodos tenés registrados. Si tu número de teléfono (SMS o llamada) es tu único método para recuperar la contraseña, o uno de los dos que pide tu organización, preguntale a tu área de sistemas qué otro método acepta. Ojo: la passkey (la llave de acceso que reemplaza la contraseña con la huella, la cara o el PIN del dispositivo) sirve para entrar, pero no cuenta para recuperar la contraseña. Si administrás Microsoft 365, Microsoft pide identificar a esos usuarios y asegurarte de que tengan métodos alternativos suficientes antes de que termine su transición. El aviso marca el 22 de marzo de 2027 como fecha de referencia para actuar, pero no es un corte para todos: el plazo de tu organización corre desde que le llega el despliegue, y el de los administradores globales y los usuarios externos, desde julio.

El calendario, por grupo de usuarios

No hay una fecha de corte única para todo el mundo. El aviso da fechas de inicio de un despliegue por etapas, y los 50 días se cuentan desde que ese despliegue llega a tu organización:

Según la documentación de Microsoft, los usuarios invitados internos no entran en el grupo de julio: siguen la fecha del 1 de febrero.

Para la disponibilidad general en la nube comercial (y en GCC, la nube para gobierno de Estados Unidos), Microsoft espera que el despliegue empiece y termine en febrero de 2027.

Qué pasa durante los 50 días

• El SMS y la voz que ya tenías siguen sirviendo para resetear la contraseña, con la política actual de tu organización.
• Dejan de pedirte que registres o confirmes el SMS o la voz para recuperar la contraseña, pero siguen los pedidos de registrar otros métodos válidos.
• En Mis inicios de sesión ya no podés agregar el SMS ni la voz, ni editar los números de teléfono de autenticación. Los teléfonos que ya tenías aparecen deshabilitados, aunque durante la transición sigan sirviendo para recuperar la contraseña.
• Si tu organización contrató su propio proveedor de telefonía, la recuperación por ese proveedor sigue disponible.

Y después de los 50 días

El SMS y la voz de Microsoft desaparecen como opción para recuperar la contraseña. Lo que pase depende de los métodos que te queden:

• Si te quedan suficientes métodos válidos para lo que exige tu organización (uno o dos, según su política), seguís reseteando la contraseña con esos.
• Si no te alcanzan, no podés completar el reseteo y el sistema te manda a hablar con tu administrador.

Microsoft aclara que no va a cambiar por su cuenta la política de recuperación de ninguna organización. Para conservar el SMS o la voz, la organización tiene que configurar un proveedor de telefonía propio compatible. Si no, el SMS de Microsoft, ese salvavidas de los lunes a las 9 cuando la contraseña no aparece, se jubila.

La passkey no alcanza (y lo que puede hacer tu administrador)

Acá está el detalle que puede generar tickets: tener una passkey u otro método para entrar no cuenta automáticamente para recuperar la contraseña. Alguien que entra todos los días con su passkey pero que tiene el SMS como único método de recuperación se puede quedar sin poder resetearla.

Microsoft recomienda una salida: donde esté disponible, el administrador puede activar la opción Allow password change after secure sign-in (permitir cambiar la contraseña después de un inicio de sesión seguro). Con eso, los usuarios elegibles que entran sin contraseña (con una passkey, con la aprobación sin contraseña de Microsoft Authenticator o con un certificado) pueden cambiar la contraseña desde Información de seguridad sin saber la actual. Ojo con dos detalles de la documentación de Microsoft: hace falta una licencia Microsoft Entra ID P1 o P2, que no todos los planes de Microsoft 365 incluyen, y la opción se está desplegando desde fines de octubre hasta fines de noviembre de 2026, así que puede que todavía no aparezca. Se activa para toda la organización: no se puede aplicar ni excluir por usuario o grupo. Microsoft no la va a activar por su cuenta.

Si administrás Microsoft 365

• Identificá a los usuarios afectados: los que dependen del SMS o la voz para recuperar la contraseña, aunque tengan otros métodos para entrar. Microsoft explica cómo encontrar quién sigue usando el SMS o la voz en su guía de retiro.
• Prepará métodos alternativos para que cumplan lo que pide tu política de recuperación sin el SMS ni la voz de Microsoft.
• Si necesitás recuperar por teléfono, configurá y probá un proveedor de telefonía compatible antes de que termine la transición.
• Probá y avisá: verificá que la recuperación funcione con tu política y con el acceso condicional, y contales los plazos a los usuarios y a la mesa de ayuda.

De dónde viene esto

El aviso del 3 de noviembre completa un plan que Microsoft publicó en su documentación de Entra ID. Desde el 1 de septiembre de 2026, las passkeys son el inicio de sesión por defecto y se activan solas para los usuarios habilitados para SMS o voz (hay una exclusión temporal hasta el 1 de febrero de 2027). Desde el 1 de febrero de 2027 empieza el retiro del SMS y la voz de Microsoft para entrar a la cuenta, salvo para administradores globales y usuarios externos, a los que les toca desde el 1 de julio de 2027. Después de cada fecha, quien tenga el SMS o la voz como único método para la verificación en dos pasos va a tener que registrar una passkey para poder seguir entrando, sin opción de saltearlo. Para las organizaciones que necesiten seguir con el SMS o la voz, Microsoft ofrece proveedores de telefonía en Microsoft Security Store: desde el 30 de octubre de 2026 se pueden elegir y configurar ahí, y Soprano y Telesign fueron los primeros, en la versión preliminar privada.

Lo que el aviso no aclara

• Cuándo le llega a tu organización. No hay una fecha por organización.
• Las cuentas personales. El aviso es de Entra ID y no dice nada de las cuentas personales de Microsoft, como las de Outlook.com.

Fuentes

• Centro de mensajes de Microsoft 365, aviso MC1536049, «Microsoft Entra ID: Microsoft-provided SMS and voice authentication to retire for self-service password reset (SSPR)» (en inglés), 3 de noviembre de 2026. El original requiere una cuenta de administrador; lo leímos en el archivo público mc.merill.net. A quién le toca, el calendario, la transición de 50 días, qué pasa después y las recomendaciones.
• Microsoft Learn, «Passkeys by default and retirement of Microsoft-provided SMS and voice authentication» (en inglés), actualizada el 23 de septiembre de 2026 y consultada el 3 de noviembre. El plan de retiro del SMS y la voz para entrar.
• Microsoft Learn, «Self-service password reset deep dive» (en inglés), consultada el 3 de noviembre de 2026. La opción de cambiar la contraseña después de un inicio de sesión seguro, su licencia y su despliegue.
• Créditos de imagen: captura oficial de la pantalla «Password reset | Registration» del centro de administración de Microsoft Entra, publicada por Microsoft en Microsoft Learn, y logo de Microsoft, usados en un fotomontaje editorial asistido por IA.