Microsoft ประกาศเปลี่ยนผ่านสู่ Passkey และเตรียมยุติการยืนยันตัวตนผ่าน SMS และ Voice ใน Microsoft Entra ID

1. การอัปเดตครั้งนี้คืออะไร?
Microsoft กำลังเปลี่ยนแนวทางการยืนยันตัวตนจากวิธีที่สามารถถูกหลอกลวงได้ (Phishable Authentication) เช่น SMS OTP หรือ Voice Call OTP ไปสู่การใช้งาน Passkey ซึ่งเป็นวิธีการยืนยันตัวตนแบบ Phishing-Resistant ที่มีความปลอดภัยสูงกว่า

ไทม์ไลน์สำคัญ

1 กันยายน 2026
Microsoft จะเริ่มเปิดใช้งาน Passkey ให้โดยอัตโนมัติสำหรับผู้ใช้ที่ยังใช้งาน SMS หรือ Voice Authentication และจะแสดงคำแนะนำ (Nudge) ให้ผู้ใช้ลงทะเบียน Passkey เมื่อมีการลงชื่อเข้าใช้งานและทำ MFA สำเร็จ

1 กุมภาพันธ์ 2027
Microsoft จะยุติการให้บริการส่ง SMS และ Voice Authentication ผ่านโครงสร้างพื้นฐานของ Microsoft อย่างสมบูรณ์

หลังจากวันดังกล่าว หากองค์กรยังต้องการใช้งาน SMS หรือ Voice Authentication จะต้องเชื่อมต่อกับผู้ให้บริการโทรคมนาคม (Telecom Provider) ที่รองรับผ่าน Microsoft Security Store ด้วยตนเอง

2. ส่งผลกระทบอย่างไรต่อองค์กรและผู้ใช้งาน?

สำหรับผู้ใช้งานทั่วไป
ผู้ใช้ที่ยังพึ่งพา SMS OTP หรือ Voice Call เป็นวิธี MFA หลัก จะเริ่มเห็นการแจ้งเตือนให้ตั้งค่า Passkey เพิ่มเติมเมื่อทำการลงชื่อเข้าใช้งานหลังวันที่ 1 กันยายน 2026

หากยังไม่มีการลงทะเบียน Passkey ภายในช่วงเวลาที่กำหนด เมื่อถึงวันที่ 1 กุมภาพันธ์ 2027 ผู้ใช้อาจไม่สามารถใช้ SMS หรือ Voice Authentication ในรูปแบบเดิมได้อีก

สำหรับองค์กร
องค์กรที่ยังมีผู้ใช้จำนวนมากใช้ SMS หรือ Voice Authentication จำเป็นต้องวางแผนการย้ายไปสู่ Passkey, Windows Hello for Business หรือ FIDO2 Security Key ก่อนกำหนดวันยกเลิกบริการ เพื่อป้องกันปัญหาการเข้าใช้งานระบบในอนาคต

Microsoft ระบุชัดเจนว่า หลังวันที่ 1 กุมภาพันธ์ 2027 หากผู้ใช้มีเพียง SMS หรือ Voice เป็น MFA Method เดียว ระบบจะบังคับให้ลงทะเบียน Passkey ก่อนจึงจะสามารถใช้งานบัญชีต่อได้ และไม่สามารถปิดการบังคับใช้นี้ได้ (No Opt-Out)

ทำไม Microsoft จึงผลักดัน Passkey?
Passkey ถูกออกแบบมาเพื่อลดความเสี่ยงจากการโจมตี เช่น
     - Phishing Attack
     - Credential Theft
     - SIM Swap Fraud
     - Replay Attack
     - MFA Fatigue Attack

โดยใช้เทคโนโลยี Public Key Cryptography แทนการรับรหัส OTP ผ่าน SMS หรือโทรศัพท์ ทำให้ผู้โจมตีไม่สามารถขโมยรหัสผ่านหรือรหัส OTP ไปใช้งานได้ง่ายเหมือนเดิม

3. ผู้ใช้งานและผู้ดูแลระบบควรดำเนินการอย่างไร?

สำหรับผู้ใช้งาน
✅ เตรียมอุปกรณ์ที่รองรับ Passkey เช่น

• Windows Hello
• Microsoft Authenticator Passkey
• FIDO2 Security Key
• iPhone/iPad (iCloud Keychain)
• Android (Google Password Manager)

✅ ลงทะเบียน Passkey เมื่อได้รับการแจ้งเตือนจากองค์กรหรือ Microsoft

✅ ตรวจสอบว่ามีวิธีการยืนยันตัวตนสำรองที่ปลอดภัยเพียงพอ

สำหรับผู้ดูแลระบบ (IT Administrator)

1. ตรวจสอบผู้ใช้ที่ยังใช้ SMS หรือ Voice Authentication
Microsoft แนะนำให้องค์กรสำรวจผู้ใช้ที่ยังคงใช้วิธีการดังกล่าว เพื่อวางแผนการย้ายระบบล่วงหน้า

2. เปิดใช้งาน Passkey ใน Microsoft Entra ID
วางแผนเปิดใช้งาน

• Passkey (FIDO2)
• Windows Hello for Business
• Passwordless Authentication

ให้พร้อมก่อนกำหนด

3. สื่อสารกับผู้ใช้งานภายในองค์กร

Microsoft แนะนำให้ดำเนินการเป็น 3 ระยะ

• Awareness แจ้งข่าวสารการเปลี่ยนแปลง

• Action ให้ผู้ใช้ลงทะเบียน Passkey

• Reminder ติดตามผู้ใช้ที่ยังไม่ได้ดำเนินการ

สรุป
การประกาศครั้งนี้ถือเป็นก้าวสำคัญของ Microsoft ในการผลักดัน Passwordless และ Phishing-Resistant Authentication ให้เป็นมาตรฐานใหม่ของการยืนยันตัวตนบน Microsoft Entra ID โดย Microsoft จะเริ่มเปิดใช้งาน Passkey เป็นค่าเริ่มต้นในวันที่ 1 กันยายน 2026 และจะ ยุติบริการ SMS/Voice Authentication ที่ Microsoft เป็นผู้ให้บริการโดยตรงในวันที่ 1 กุมภาพันธ์ 2027

องค์กรควรเริ่มวางแผนการเปลี่ยนผ่านตั้งแต่วันนี้ เพื่อให้ผู้ใช้งานสามารถใช้ Passkey ได้อย่างราบรื่น ลดความเสี่ยงด้านความปลอดภัย และหลีกเลี่ยงผลกระทบต่อการเข้าใช้งานระบบในอนาคต