Un dipendente accende il computer, digita la password di Microsoft 365 e aspetta il codice via SMS per completare l’accesso. È un gesto ripetuto ogni giorno in migliaia di aziende. Da settembre 2026, per molte di loro, questo passaggio cambierà volto: Microsoft rende le passkey il metodo di autenticazione predefinito su Entra ID, il sistema che gestisce le identità dietro Microsoft 365, Teams, Outlook e tutti gli altri strumenti della suite.
Il cambiamento si attiva automaticamente per chi oggi si affida a SMS o chiamata vocale come secondo fattore di accesso, senza bisogno di alcuna azione da parte di chi gestisce l’IT in azienda.
Cos’è una passkey e perché sostituisce SMS e chiamate
Una passkey è una chiave crittografica legata al dispositivo che la genera, sbloccata con l’impronta digitale, il riconoscimento facciale o il PIN dello smartphone o del computer. A differenza di una password, non esiste una stringa di testo da digitare, rubare o riutilizzare su un sito falso: la chiave privata non lascia mai il dispositivo, e ogni accesso viene verificato con un meccanismo che un attaccante non può replicare da remoto.
Un codice ricevuto via SMS o una chiamata automatica, invece, possono essere intercettati, dirottati con un cambio SIM fraudolento o semplicemente estorti a un dipendente distratto con una pagina di phishing ben fatta. È il tipo di attacco più comune contro gli accessi aziendali, ed è esattamente il punto debole che le passkey eliminano alla radice.
Le passkey possono anche essere sincronizzate tra i dispositivi personali tramite strumenti come il portachiavi di iCloud, Google Password Manager o Windows Hello, così da non restare bloccati fuori dall’account se si perde o si sostituisce lo smartphone. Per un’azienda questo significa curare con attenzione la fase di registrazione iniziale, ma senza il rischio che un singolo dispositivo smarrito diventi un blocco permanente all’accesso.
Cosa cambia concretamente da settembre 2026
Gli utenti che oggi usano SMS o chiamata vocale come fattore di autenticazione su Entra ID verranno iscritti automaticamente alla verifica tramite passkey, in vista del ritiro definitivo dei fattori telefonici previsto per febbraio 2027. Chi in azienda usa già Windows Hello for Business, una chiave di sicurezza FIDO2, una smart card o un altro metodo resistente al phishing non subirà invece alcuna modifica: questi metodi restano validi e continuano a funzionare come oggi.
La transizione riguarda quindi in modo diretto le aziende che non hanno ancora abbandonato SMS e OTP telefonici, una fetta ancora ampia delle PMI che usano Microsoft 365 con la configurazione di sicurezza di base attivata anni fa e mai più rivista.
Cosa fare prima del passaggio automatico
- Verificare quali utenti aziendali usano ancora SMS o chiamata vocale come metodo di accesso a Microsoft 365
- Far registrare a ogni utente un dispositivo compatibile con le passkey (smartphone con biometria, chiave di sicurezza fisica) prima che il passaggio scatti automaticamente
- Informare i dipendenti del cambiamento in anticipo, per evitare richieste di supporto e blocchi di accesso il giorno in cui l’iscrizione automatica si attiva
- Controllare eventuali applicazioni aziendali legacy che si affidano solo a SMS come secondo fattore e potrebbero non essere compatibili con le passkey
Un passo dentro una tendenza più ampia
Microsoft non è la prima a spingere in questa direzione: Google, Apple e i principali fornitori cloud stanno convergendo tutti verso l’autenticazione senza password. Per un’azienda, il rischio non è tanto ignorare il cambiamento quanto subirlo senza preparazione, con dipendenti bloccati fuori dalla propria casella di posta nel giorno sbagliato. Chi verifica per tempo chi in azienda dipende ancora da SMS e OTP telefonici arriva a settembre 2026 senza sorprese, e con un livello di sicurezza degli accessi più alto di quello di oggi.
Per le aziende già soggette agli obblighi della direttiva NIS2, il rafforzamento dell’autenticazione rientra tra le misure di sicurezza attese dal regolatore: un motivo in più per trattare questo passaggio come un’occasione da cogliere per tempo, non come un adempimento da subire in ritardo.
Vuoi sapere se la tua azienda è pronta al passaggio alle passkey? Richiedi una verifica gratuita della configurazione di sicurezza Microsoft 365.