Microsoft, Entra ID kurumsal kimlik hizmetinde geçiş anahtarlarını (passkey) varsayılan kimlik doğrulama yöntemi hâline getireceğini duyurdu. Değişiklik, Eylül 2026’dan itibaren kademeli olarak uygulanacak. Şirket ayrıca SMS ile sesli arama tabanlı kimlik doğrulama desteğinin 1 Şubat 2027 tarihinde tamamen kaldırılacağını açıkladı.
SMS İle Sesli Doğrulama Aşamalı Olarak Kaldırılacak
Microsoft’un paylaştığı takvime göre şu anda SMS veya sesli arama yöntemiyle çok faktörlü kimlik doğrulaması kullanan Entra ID kullanıcıları otomatik olarak geçiş anahtarlarını kullanabilecek şekilde yapılandırılacak. Kullanıcılar, çok faktörlü kimlik doğrulama işlemini bir sonraki gerçekleştirdiklerinde geçiş anahtarı oluşturma ekranıyla karşılaşacak.
Şirket, kimlik avına dayanıklı doğrulama yöntemlerini kullanan kullanıcıların herhangi bir değişiklik yaşamayacağını da belirtti. Windows Hello for Business, FIDO2 güvenlik anahtarları, akıllı kartlar veya daha önce oluşturulan geçiş anahtarları kullanılmaya devam edecek. Böylece mevcut güvenli kimlik doğrulama altyapısı korunurken telefon tabanlı yöntemlerden kademeli olarak uzaklaşılacak.
Microsoft Kurumlara Hazırlık Çağrısı Yaptı
Microsoft, kuruluşların 1 Şubat 2027 tarihinden önce tüm kullanıcılarını kimlik avına dayanıklı doğrulama yöntemlerine geçirmesi gerektiğini vurguluyor. Bu tarihten sonra Microsoft’un sağladığı SMS ile sesli doğrulama hizmeti Entra ID içinde yerleşik özellik olarak sunulmayacak. Telefon tabanlı doğrulamaya ihtiyaç duyan kuruluşlar ise üçüncü taraf telekom hizmet sağlayıcılarını Microsoft Security Store üzerinden yapılandırmak zorunda kalacak.
Sistem yöneticileri, SMS veya sesli doğrulamayı kullanan hesapları belirlemek için Entra SMS/Voice Policy Scanner adlı PowerShell betiğinden yararlanabilecek. Microsoft, ayrıca geçiş anahtarı tabanlı parolasız kimlik doğrulamanın kurulumu ile yönetimi için ayrıntılı teknik dokümantasyon da yayınladı.
Kimlik Avı Saldırıları Kararın Arkasındaki En Büyük Nedenlerden Biri
Microsoft, değişikliğin temel nedenlerinden birinin hızla artan kimlik avı saldırıları olduğunu belirtiyor. Şirketin Tehdit İstihbaratı ekibi, yapay zekâ destekli kimlik avı kampanyalarında bağlantıya tıklama oranının yüzde 54’e kadar ulaştığını, geleneksel saldırılarda ise bu oranın yaklaşık yüzde 12 seviyesinde kaldığını tespit etti. Bu tablo, parola ile SMS doğrulamasına dayalı hesapların saldırganlar açısından daha cazip hedef hâline geldiğini gösteriyor.
Son dönemde ShinyHunters gibi siber suç grupları, çalınan kimlik bilgilerini kullanarak Microsoft Entra tek oturum açma (SSO) hesaplarını hedef alan SaaS veri hırsızlığı saldırıları düzenledi. Microsoft’a göre geçiş anahtarlarının varsayılan yöntem hâline gelmesi, parolaların ele geçirilmesine dayanan saldırıları önemli ölçüde zorlaştırırken kimlik avı girişimlerine karşı hesapların korunmasını da güçlendirecek.
