¿Cuándo fue la última vez que un código por SMS te hizo sentir realmente seguro? Probablemente nunca. Era cómodo, sí. Pero seguro, jamás lo fue, y ahora hasta Microsoft lo admite en voz alta: la compañía acaba de anunciar, casi al mismo tiempo, dos retiradas del SMS como método de verificación de dos factores (2FA/MFA). Una afecta a cualquier cuenta personal de Microsoft. La otra, mucho más contundente y con fecha de caducidad marcada en rojo, afecta a toda empresa que gestione identidades en Microsoft Entra ID. Si todavía no le has prestado atención a ninguna de las dos, esta es tu señal.

Aviso número uno: el usuario de a pie ya no podrá fiarse del SMS

Microsoft ha confirmado que retirará de forma gradual el envío de códigos SMS como método de verificación para cuentas personales. No hay fecha límite exacta, pero sí un motivo muy claro: el SMS es «una de las principales fuentes de fraude», vulnerable al phishing y al SIM swapping, la técnica con la que un atacante secuestra tu número de teléfono para interceptar tus códigos sin que te enteres hasta que ya es tarde. 

Aviso número dos: aquí ya no hay margen para la procrastinación

Ahora viene la parte que de verdad debería quitarte el sueño si tu empresa trabaja con Microsoft Entra ID, porque aquí no hay nada dejado a la interpretación: hay fechas, hay plazos y hay consecuencias reales para quien llegue tarde. El 1 de septiembre de 2026, todos los tenants con SMS o voz habilitados empezaron a ser inscritos automáticamente en el registro de passkeys. Es el aviso previo, la cortesía antes del portazo.

Porque el 1 de febrero de 2027, Microsoft retira por completo el SMS y la voz como métodos de autenticación en Entra ID, sin prórrogas silenciosas. La única tregua es para los administradores globales y los usuarios externos, que tienen hasta el 1 de julio de 2027. Cualquier otro usuario cuyo único método de MFA sea el SMS o la voz se encontrará, de un día para otro, con la puerta cerrada hasta que registre una passkey. Existe un opt-out temporal vía Microsoft Graph, pero caduca el 1 de febrero: no es una vía de escape, es solo un aplazamiento de cinco meses. 

¿De verdad quieres que tu organización descubra esto el 31 de enero de 2027, con soporte colapsado y usuarios bloqueados en plena jornada laboral?

Aquí es donde YubiKey deja de ser una nota a pie de página

En su blog, Yubico —uno de nuestros vendors, y no por casualidad— pone sobre la mesa el dato que explica esta contundencia: el 86% de los ataques de phishing actuales ya están impulsados por inteligencia artificial, según KnowBe4. No hablamos de un phishing torpe que cualquiera detecta a la legua, sino de campañas generadas por IA capaces de imitar el tono exacto de un compañero o un proveedor.

Y funcionan: según el Microsoft Digital Defense Report 2025, las campañas de phishing hechas con IA alcanzan un 54% de clics, frente al 12% de las tradicionales. Es decir, multiplican por cuatro y medio las probabilidades de que alguien pique. Frente a eso, ¿qué posibilidades tiene un código de seis dígitos por SMS? Ninguna: es un candado de cartón ante un ladrón con ganzúa profesional.

Por eso no todas las passkeys pesan igual. Una passkey sincronizada en el móvil o en un gestor de contraseñas en la nube sigue dependiendo de un dispositivo que puede perderse o infectarse, y de una cuenta en la nube que puede comprometerse. Una alojada en una YubiKey no sale nunca de la llave física: no se exporta, no se copia, no se filtra en una brecha en la nube. Es la diferencia entre dejar la llave de casa bajo el felpudo o guardarla en una caja fuerte que llevas encima.

¿Suena a teoría? Google lo comprobó hace casi una década. A principios de 2017 obligó a sus más de 85.000 empleados a usar llaves de seguridad físicas y, según reconoció la propia compañía un año después, no había registrado ni un solo robo de cuentas de trabajo por phishing. No porque dejaran de recibir correos maliciosos, sino porque, aunque alguno picara, no había ningún código que robar. Y no es un caso aislado: según Yubico, Salesforce y OpenAI también están exigiendo MFA resistente al phishing en sus plataformas. Lo que Microsoft impone ahora, los grandes de la tecnología ya lo habían convertido en norma.

La pregunta que toda empresa debería hacerse esta semana

¿Cuántos de tus usuarios dependen todavía del SMS o la voz para entrar en sus cuentas corporativas? Si no lo sabes con certeza, ese es el primer síntoma de que la migración no está tan avanzada como crees.

Y la segunda pregunta es igual de importante: ¿quién necesita algo más que una passkey en el móvil? La respuesta no la damos nosotros, la da Microsoft. En su guía de despliegue de autenticación resistente al phishing, recomienda las llaves de seguridad FIDO2 como credencial principal para tres perfiles:

• Administradores y usuarios de entornos altamente regulados. Y si gestionas tenants de terceros, cada técnico con acceso a ellos: una cuenta privilegiada comprometida pocas veces afecta a un solo entorno.
• Usuarios que comparten dispositivo, como puestos de planta, tiendas o turnos.
• Usuarios sin smartphone corporativo.

Saber cuántas personas de tu organización encajan en cada perfil es el primer paso de cualquier migración seria.

La ventana hasta el 1 de febrero de 2027 parece amplia, y lo es, si empiezas ahora; deja de serlo en cuanto la conviertes en la última prioridad del último trimestre de 2026. Llevamos casi una década siendo partners de Yubico, y en ese tiempo hemos visto qué diferencia hay entre las empresas que migran con una llave física en la mano y las que lo intentan resolver solo con software: las primeras duermen tranquilas antes de febrero de 2027, las segundas no. Si todavía no te has planteado en serio qué significaría dotar a tus equipos de YubiKeys antes de que el reloj de Microsoft termine de correr, hablemos: quizás esta sea la señal que estabas esperando para preguntarlo.

Fuentes: Microsoft Support — Microsoft dejará de enviar códigos SMS para cuentas personales · Yubico Blog — RIP SMS · Microsoft Learn — Passkeys by default · KnowBe4 — 86% of phishing attacks are AI driven · Krebs on Security — Google: Security Keys Neutralized Employee Phishing · CIO Dive — How does Google prevent phishing attacks on its 85K employees? · Microsoft Security Blog — Passkeys are the default authentication method in Entra ID · Microsoft Learn — Plan a phishing-resistant passwordless authentication deployment in Microsoft Entra ID