Tin công nghệ

Microsoft đặt passkey làm mặc định, bỏ SMS: doanh nghiệp chuẩn bị gì?

Posted on by superadmin

Mật khẩu và mã OTP qua SMS đang dần lùi vào quá khứ

Năm 2026 là năm các hãng công nghệ lớn đẩy mạnh việc thay thế mật khẩu và mã OTP qua tin nhắn bằng passkey, một phương thức đăng nhập chống lừa đảo dựa trên chuẩn FIDO2. Đối với doanh nghiệp đang dùng Microsoft 365, thay đổi quan trọng nhất đến từ Microsoft Entra ID (tên mới của Azure Active Directory), hệ thống quản lý danh tính đứng sau mọi tài khoản Outlook, Teams, SharePoint của công ty.

Lộ trình thay đổi của Microsoft

Theo thông tin Microsoft công bố giữa năm 2026 và được nhiều trang công nghệ đưa tin, các mốc chính trên Entra ID bản đám mây công cộng như sau:

  • 1/9/2026: passkey trở thành phương thức xác thực mặc định. Người dùng đang dùng SMS hoặc cuộc gọi thoại cho MFA sẽ được tự động kích hoạt và nhắc đăng ký passkey ở lần xác thực tiếp theo.
  • 18/9/2026: Microsoft công bố danh sách nhà cung cấp viễn thông được hỗ trợ và mức giá cho các trường hợp vẫn cần SMS hoặc cuộc gọi.
  • 30/10/2026: tổ chức nào vẫn muốn giữ SMS hoặc cuộc gọi phải chọn và cấu hình nhà cung cấp viễn thông qua Microsoft Security Store, đồng thời tự chịu chi phí.
  • 1/2/2027: Microsoft ngừng cung cấp SMS và cuộc gọi xác thực như một tính năng có sẵn của Entra.

Như vậy, chỉ còn khoảng hai tuần nữa là đến hạn 30/10/2026. Doanh nghiệp nào chưa rà soát cấu hình xác thực nên làm ngay.

Passkey là gì và vì sao an toàn hơn?

Passkey là cặp khóa mật mã: một khóa bí mật nằm trên thiết bị của người dùng (điện thoại, laptop, khóa bảo mật USB), khóa còn lại được lưu trên máy chủ dịch vụ. Khi đăng nhập, người dùng chỉ cần mở khóa thiết bị bằng vân tay, khuôn mặt hoặc mã PIN. Passkey gắn chặt với tên miền thật của dịch vụ, nên trang web giả mạo không thể “xin” được thông tin đăng nhập như với mật khẩu hay mã OTP.

Trong khi đó, mã OTP qua SMS có nhiều điểm yếu: có thể bị đánh cắp qua trang lừa đảo trung gian, qua chiêu thức chiếm đoạt SIM, hoặc đơn giản là nhân viên đọc mã cho kẻ gian giả danh bộ phận IT. Đây cũng là lý do Microsoft khuyến cáo chuyển người dùng sang passkey hoặc phương thức chống lừa đảo khác càng sớm càng tốt.

Google cũng tăng cường passkey và khóa bảo mật

Không chỉ Microsoft, Google cũng mở rộng hỗ trợ. Từ tháng 7/2026, công cụ Google Credential Provider for Windows (GCPW) hỗ trợ khóa bảo mật FIDO2 làm yếu tố thứ hai ngay tại màn hình đăng nhập Windows, và cho phép dùng passkey từ điện thoại ở gần qua Bluetooth. Quản trị viên Google Workspace có thể bắt buộc xác minh hai bước theo từng nhóm người dùng hoặc theo lịch định sẵn.

Các lựa chọn passkey trong Microsoft Entra

  • Passkey trong Microsoft Authenticator trên điện thoại, phù hợp với đa số nhân viên văn phòng.
  • Passkey trên Windows (Windows Hello), gắn với máy tính công ty.
  • Khóa bảo mật FIDO2 dạng USB hoặc NFC, phù hợp cho tài khoản quản trị, kế toán, giám đốc hoặc nhân viên không dùng điện thoại cá nhân cho công việc.
  • Passkey đồng bộ lưu trong trình quản lý mật khẩu của nền tảng, tiện lợi nhưng cần cân nhắc chính sách quản lý thiết bị.

Kế hoạch chuyển đổi cho doanh nghiệp vừa và nhỏ

Bước 1: Kiểm kê

Vào trung tâm quản trị Entra, xem báo cáo phương thức xác thực để biết bao nhiêu người dùng vẫn đang dùng SMS hoặc cuộc gọi. Đặc biệt lưu ý các tài khoản quản trị và tài khoản dùng chung.

Bước 2: Chọn phương thức theo nhóm

Nhân viên văn phòng có thể dùng Microsoft Authenticator. Nhóm quản trị và tài chính nên được cấp khóa bảo mật FIDO2. Nhân viên nhà máy, công trường không có điện thoại công ty cần phương án riêng.

Bước 3: Truyền thông và hướng dẫn

Gửi hướng dẫn ngắn có hình minh họa, tổ chức buổi hỗ trợ đăng ký passkey tại văn phòng. Nhắc nhân viên rằng bộ phận IT không bao giờ hỏi mã xác thực qua điện thoại hay tin nhắn.

Bước 4: Quy trình khôi phục

Xác định cách xử lý khi nhân viên mất điện thoại hoặc khóa bảo mật: ai được cấp mã truy cập tạm thời, cần xác minh danh tính như thế nào. Đây là khâu kẻ gian thường lợi dụng nếu làm lỏng lẻo.

Bước 5: Giữ các lớp bảo vệ khác

Passkey không chống được việc máy tính bị nhiễm mã độc hay bị đánh cắp phiên đăng nhập. Vì vậy vẫn cần duy trì chính sách truy cập có điều kiện, phân quyền tối thiểu và phần mềm bảo vệ đầu cuối.

Doanh nghiệp nên làm gì?

Hãy coi mốc 30/10/2026 và 1/2/2027 là cơ hội để nâng cấp toàn bộ cơ chế đăng nhập, thay vì chỉ xử lý tình thế. Nếu cần tư vấn cấu hình Microsoft 365, lựa chọn khóa bảo mật FIDO2 hoặc giấy phép Microsoft 365 phù hợp, DTIC có thể hỗ trợ doanh nghiệp triển khai.

Nguồn tham khảo