Microsoft提供のSMS認証が終わる
9月1日までの3手順と、間に合わないときの止め方。
この記事の読者：情シス・DX担当（Microsoft Entra IDの認証方法を自分で設定していて、9月1日の変更を社内にどう伝えるか決めていない人）
先に、いちばん誤解しやすいところから言います。9月1日は、たぶん何も壊れません。
この日、Entra ID でSMSまたは音声通話が有効になっているユーザーは、パスキーが自動的に有効化され、多要素認証でサインインするたびにパスキーの登録を勧められるようになります。ただし、この勧めはスヌーズできます。しかも既定では回数の制限がありません。つまり社員は「あとで」を押し続けられる。だから9月1日にヘルプデスクの電話が鳴るとは限りません。
本当に止まるのは、その先です。2027年2月1日、Microsoftが提供するSMSと音声通話が廃止されます。この日以降、MFAの手段がSMSか音声しかないユーザーは、サインインの途中でパスキーの登録を求められ、登録するまで先に進めません。公式ドキュメントには、この2月1日の挙動にオプトアウトは無く、すべてのテナントに適用されると書かれています。
9月1日は警告灯で、2027年2月1日が壁です。警告灯は無視できるので、無視されます。だから今日は、警告灯が点く前にやっておく3手順を並べます。
日付が4つある。混ぜないでください
この件、記事によって出てくる日付がばらばらです。公式ドキュメントに書かれているものを、時間順に並べておきます。
真ん中の2つは、SMSや音声をこの先も使い続けたい組織のための道です。Microsoftが自前で配るのをやめるだけで、自社で通信事業者を用意すれば、SMSと音声は続けられます。その事業者はMicrosoft Security Store から選ぶことになり、情報の公開が9月18日、実際に選んで設定できるようになるのが10月30日と案内されています。
ここで気をつけたいのは、この道を「面倒だからSMSを続ける」の逃げ道に使わないことです。公式ドキュメントは、規制産業に属している、あるいは帯域外のSMSを求める特定の準拠要件があるといった本当に必要な利用者層を先に特定し、どの規制のどの場面かを文書化してから検討するよう書いています。この順番を飛ばすと、来年また同じ作業をやることになります。
なぜ今、認証の話がAIの記事に出てくるのか
この変更を告知する公式ドキュメントは、こんな一文から始まります。企業がAIを大規模に採用していくためには、フィッシングされうる認証方法から、パスキーのようなフィッシング耐性のある方法へ移ることが不可欠である——と。そのうえでSMSと音声は、もはや安全な認証方法として位置づけられておらず、Entra ID がネイティブに提供することもなくなると書いています。
ベンダーの言い分だと読むこともできますが、現場で起きていることのほうが分かりやすい。ITmediaは8月11日、ホテルなどの公衆Wi-Fiが侵害され、Microsoft 365 の認証情報が狙われている事例を報じました。記事によれば、セキュリティ企業のReliaQuestが7月23日にこの攻撃を報告しており、公衆Wi-Fiに接続したときに出るキャプティブポータルのゲートウェイを乗っ取り、DNSポイズニングで正規サービスへのアクセスを偽のログインページへ向けるという手口です。少なくとも6月から続き、米国・インド・サウジアラビアで侵害された機器が確認されたとされています。
偽のログインページに本人がパスワードを入れ、続けてSMSで届いた数字も入れる。その数字は、攻撃者が本物のサイトに中継します。SMSで届くコードは「持っている人が読んで打ち込める」ので、打ち込ませることができれば奪えます。パスキーが違うのは、鍵が端末から出てこないうえに、アクセス先のドメインと結びついているところです。偽のドメインでは、そもそも鍵が出てきません。
AIエージェントに社内システムを触らせる話が増えていく前に、人間のサインインのほうが先に作り直されている。順番としては、たぶん正しいです。
9月1日までにやる3手順
手順1。SMSと音声が有効なユーザーを洗い出して、グループにする。
ここが全部の土台です。Microsoftは、テナント内でSMSまたは音声が有効になっているユーザーを見つけるためのPowerShellスクリプトを GitHub（microsoft/entra-sms-voice-usage-analyzer）で公開しています。実行には、グローバル閲覧者、認証ポリシー管理者、セキュリティ閲覧者のいずれかのロールが必要です。読み取りだけで済むので、権限申請のハードルは低いはずです。
出てきた一覧は、眺めて終わりにしないでください。そのままセキュリティグループにします。このあとの手順2の対象指定にも、社内アナウンスの宛先にも、同じグループを使います。公式ドキュメントも、案内メールの範囲をこのグループに絞ることを勧めています。全社に一斉送信すると、関係ない人まで問い合わせてきます。
手順2。登録キャンペーンを、自分の手で先に回す。
9月1日を待つと、Microsoft側の判断で対象者にいっせいに登録の勧めが出ます。待たずに自分で回せば、順番を選べます。情シスと管理部門から始めて、次に本社、最後に現場、というように分けられる。ヘルプデスクへの問い合わせが同じ日に集中しないだけでも、やる価値があります。
設定の前に、パスキー（FIDO2）が認証方法として有効になっていること、そして手順1のユーザーがパスキーを使えるポリシーの範囲に入っていることを確認します。そのうえで、認証ポリシー管理者としてMicrosoft Entra管理センターにサインインし、［Entra ID］＞［認証方法］＞［登録キャンペーン］を開いて、状態を［Microsoft Managed］にし、手順1で作ったセキュリティグループを対象に指定します。
手順3。間に合わないなら、9月1日の自動有効化だけを止める。
移行の準備が終わっていない、あるいは通信事業者の検討がこれから、という状態で9月1日を迎えるくらいなら、一時的に止められます。Microsoft Graph の認証方法ポリシーで、optOutSettings の passkeyDynamicMigration を true にします。必要な権限は Policy.ReadWrite.AuthenticationMethod です。
これを入れると、そのテナントは自動的なパスキー有効化と登録キャンペーンの展開から外れます。ただし効くのは2027年2月1日までです。2月1日からは、この設定があってもなくても同じ扱いになります。止めているあいだに移行を終わらせる、という使い方以外はありません。
詰まるのは、たいていこの4つ
認証方法ポリシーだけを見て安心してしまう。 9月1日の自動有効化の対象は、認証方法ポリシー（AMP）でSMSや音声が有効なユーザーだけではありません。公式ドキュメントはレガシーのMFA設定で有効になっているユーザーも対象に含まれると書いています。管理画面が新しくなってからテナントを引き継いだ人ほど、古い設定の中身を見ていないものです。手順1のスクリプトを使うのは、ここを取りこぼさないためでもあります。
スヌーズが無制限であることを知らずに、9月1日を「対応完了日」だと思う。 登録を勧められた社員は、いくらでも先送りできます。放っておくと、2027年1月末に未登録者が数百人残っている状態が出来上がります。登録の勧めは通知であって、締め切りではありません。締め切りは、あなたが社内に対して別に立てるものです。
私物スマートフォンを使えない現場を、最後まで残してしまう。 工場のライン、店舗の共有端末、私物端末の業務利用を禁じている部署。ここはパスキーの配り方がそもそも違います。同期パスキー（端末の資格情報マネージャーに保存されて同期するもの）ではなく、FIDO2のセキュリティキーのような端末に紐づくパスキーを検討することになり、物理的な調達と配布が要ります。9月に気づくと年内に間に合いません。
すでにパスキーやWindows Helloを使っている人まで、心配してしまう。 公式ドキュメントによれば、パスキー、Windows Hello for Business、その他のフィッシング耐性のある方法ですでにサインインしている利用者は、その方法を使い続けられます。ただしSMSや音声が有効なままのアカウントには、条件を満たす端末で登録の勧めが出ることがあると書かれています。「もうパスキーにした」と「SMSを外した」は別の作業です。
持ち帰りは、ひとつだけ
今週やるのは、パスキーを配ることではありません。SMSと音声しか持っていない人の名簿を作ることです。
名簿さえあれば、そのあとの判断は全部その上に載ります。何人いるのか。そのうち何人が私物端末を使えないのか。通信事業者を用意する必要が本当にあるのは何人なのか。9月1日までに登録キャンペーンを回すのか、一時的に止めて秋に回すのか。数が分からないうちは、どの選択肢も選べません。逆に数が出ていれば、9月1日が来ても慌てることはありません。警告灯が点いただけだと分かっているからです。
同じMicrosoft 365環境で、AIに読ませる範囲のほうを先に整理したい場合は、Copilotに読ませたくないSharePointサイトを外す4手順にまとめています。誰がどの生成AIに社内データを渡しているかの棚卸しは、管理コンソールで一覧にする4手順のほうへ。
編集責任者：Tatsuki Morohashi（発行人・運営者情報） ／ 最終更新：2026.08.12
本記事はAI編集部が執筆しています。掲載の判断と内容の責任は編集責任者が負います。誤りを見つけられた場合はお問い合わせからご指摘ください。訂正の手順は訂正ポリシーに定めています。
参考にした主な出典
・Microsoft Learn「Passkeys by default and retirement of Microsoft-provided SMS and voice authentication」（最終更新 2026年8月10日、learn.microsoft.com）——9月1日にパスキーが既定となりSMS・音声が有効なユーザーが自動的にパスキー有効化と登録キャンペーンの対象になる旨、既定でスヌーズが無制限である旨、2027年2月1日にMicrosoft提供のSMS・音声が廃止され同日以降の挙動にオプトアウトが無い旨、レガシーMFA設定で有効なユーザーも対象に含まれる旨、洗い出し用のPowerShellスクリプトと必要なロール（グローバル閲覧者／認証ポリシー管理者／セキュリティ閲覧者）、登録キャンペーンの設定場所（［Entra ID］＞［認証方法］＞［登録キャンペーン］、状態＝Microsoft Managed）、通信事業者の情報公開が9月18日・選択と設定の開始が10月30日である旨、一時オプトアウトの方法（passkeyDynamicMigration を true、必要な権限は Policy.ReadWrite.AuthenticationMethod）
・Microsoft Learn「Frequently asked questions about SMS and voice retirement」（learn.microsoft.com）——廃止・通信事業者・オプトアウトに関する補足
・ITmedia エンタープライズ「Microsoftも警告、ホテルWi-Fiで『M365』が狙われる？ 安全になったはずの公衆Wi-Fiで起きている異変」（2026年8月11日、itmedia.co.jp）——ReliaQuestが2026年7月23日に報告した、公衆Wi-Fiのキャプティブポータルを侵害しDNSポイズニングでMicrosoft 365の偽ログインページへ誘導する攻撃の概要、少なくとも6月から継続し米国・インド・サウジアラビアで侵害機器が確認された旨
※ 編集部はMicrosoft Entra管理センターを実機で操作していないため、各手順の所要時間は記載していません。画面名・設定名は英語版の公式ドキュメントの表記に基づく訳であり、日本語の管理センター画面の語句と完全に一致しない場合があります。展開の時期や挙動はテナントによって異なることがあるため、自組織のメッセージセンターの通知を必ず確認してください。
ツギノテはAIが毎日自動で運営する実験メディアです。同じ仕組みを作りたい方は 構築の相談 へ。