Microsoft, kurumsal kimlik yönetimi hizmeti Entra ID için passkeys'in Eylül 2026'dan itibaren varsayılan kimlik doğrulama yöntemi olacağını duyurdu. Bu adım, geleneksel telefon tabanlı SMS ve sesli doğrulama yöntemlerinin emekliye ayrılması sürecinin bir parçası. Microsoft, kullanıcıları daha güvenli ve phishing saldırılarına karşı dirençli yöntemlere yönlendirmeyi hedefliyor.
Geçiş süreci kapsamında, şu anda SMS veya sesli doğrulama kullanan Entra ID kullanıcıları için passkeys otomatik olarak etkinleştirilecek. Bu kullanıcılar, bir sonraki çok faktörlü kimlik doğrulama (MFA) işlemlerinde bir passkey kaydetmeye yönlendirilecek. Halihazırda passkeys, Windows Hello for Business, FIDO2 güvenlik anahtarları veya akıllı kart gibi phishing dirençli yöntemler kullananlar ise mevcut yöntemlerini kullanmaya devam edebilecek.
Microsoft, SMS ve sesli doğrulamanın 1 Şubat 2027'de tamamen kaldırılacağını belirtti. Bu tarihten itibaren, Microsoft sağlayıcılı telekomünikasyon hizmeti sona erecek ve SMS/sesli doğrulama artık native bir Microsoft Entra özelliği olmayacak. Kuruluşların, oturum açma kesintilerini önlemek için tüm kullanıcılarını phishing dirençli yöntemlere geçirmeleri öneriliyor.
Uzmanların Görüşleri
Yöneticiler, SMS/sesli doğrulama kullanan kullanıcıları tespit etmek için Entra SMS/Voice Policy Scanner PowerShell scriptini kullanabilir. Telefon tabanlı doğrulamayı kullanmaya devam etmek zorunda olan kuruluşlar, Microsoft Security Store üzerinden üçüncü taraf telekom sağlayıcıları yapılandırabilir. Microsoft, phishing dirençli parolasız kimlik doğrulama dağıtımı için adım adım rehberlik sağlıyor.
Bu değişiklik, son dönemde ShinyHunters gibi tehdit aktörlerinin çalıntı kimlik bilgileriyle Microsoft Entra SSO hesaplarını hedef alan SaaS veri hırsızlığı saldırılarının ardından geldi. Microsoft Threat Intelligence, yapay zeka destekli phishing kampanyalarının tıklama oranlarının %54'e kadar çıktığını, geleneksel kampanyalarda bu oranın %12 olduğunu belirtiyor. Bu nedenle, çalıntı şifreler ve phishing yapılabilir ikinci faktörler acil bir risk oluşturuyor.
Passkeys'in varsayılan hale getirilmesiyle Microsoft, kuruluşların phishing yapılabilir kimlik doğrulama yöntemlerine olan bağımlılığını azaltmayı ve kimlik bilgisi hırsızlığı ile phishing saldırılarına karşı korumayı güçlendirmeyi hedefliyor. Kullanıcıların telefon tabanlı yöntemlerden uzaklaşarak daha güvenli alternatiflere geçmesi, siber güvenlik açısından kritik önem taşıyor.
Kaynak: bleepingcomputer.com
