Microsoft, Entra ID üzerinden kendi sunduğu SMS sesli arama tabanlı çok faktörlü kimlik doğrulama desteğini 1 Şubat 2027 itibarıyla çoğu kullanıcı için sonlandıracak. Şirket, 30 Ekim 2026 tarihinde üçüncü taraf telekomünikasyon sağlayıcısı seçme özelliğini genel kullanıma açarak kuruluşlara SMS sesli doğrulamayı sürdürmek için alternatif yol sunacak. Microsoft, oltalama saldırılarına karşı daha güçlü koruma sağlayan geçiş anahtarlarını (passkey) önerirken yalnızca SMS veya sesli doğrulama kullanan çalışanların yeni yöntem kaydetmesini gerektirecek.
Microsoft Entra ID İçin Yeni Kimlik Doğrulama Takvimi AçıklandıMicrosoft Entra ID, kurumsal kullanıcıların kimliklerini doğrulamak uygulamalara erişimlerini yönetmek için kullanılan kimlik erişim yönetimi platformudur. Microsoft’un açıkladığı takvime göre şirketin kendi sağladığı SMS sesli arama doğrulaması, 1 Şubat 2027 tarihinde çoğu kullanıcı için kullanımdan kaldırılacak. Global Administrator rolündeki kullanıcılar harici kullanıcılar için son tarih ise 1 Temmuz 2027 olarak belirlendi.
Microsoft, 30 Ekim 2026 itibarıyla Choose Your Own Telephony Provider (CYOT) özelliğini genel kullanıma sunmayı planlıyor. Kuruluşlar, Microsoft Security Store üzerinden desteklenen üçüncü taraf telekomünikasyon sağlayıcılarından birini seçerek SMS veya sesli arama tabanlı doğrulamayı sürdürebilecek. Seçilen sağlayıcıyla ticari ilişkiyi doğrudan yönetecek olan kuruluşların satın alma, faturalandırma hizmet koşullarını ayrıca değerlendirmesi gerekecek.
Microsoft’un SMS sesli arama doğrulamasını bırakma kararının temelinde, yöntemlerin oltalamaya karşı dayanıklı olmaması yer alıyor. Saldırganlar sahte giriş sayfaları veya sosyal mühendislik yöntemleriyle kullanıcıları tek kullanımlık doğrulama kodlarını maya ikna edebiliyor. Telefon numarasının başka SIM karta taşınması ya mesajların ele geçirilmesi gibi riskler SMS tabanlı kimlik doğrulamanın güvenlik sınırlarını ortaya koyuyor.
Şirket, kuruluşlara daha güçlü kimlik doğrulama seçeneklerine geçmelerini öneriyor. Geçiş anahtarları, desteklenen cihazlarda biyometrik doğrulama veya cihaz PIN’i gibi yöntemlerle kullanılabiliyor kimlik doğrulama işlemini belirli hizmetin alan adına bağlayarak sahte giriş sayfalarına karşı koruma sağlayabiliyor. Microsoft, SMS veya sesli arama yöntemlerinin yalnızca iş gereksinimi, mevzuat ya teknik kısıtlamalar nedeniyle zorunlu olduğu durumlarda kullanılmasını tavsiye ediyor.
Microsoft’un belirlediği geçiş tarihinden sonra yalnızca SMS veya sesli aramayı çok faktörlü kimlik doğrulama yöntemi olarak kullanan kişiler, kuruluşları desteklenen üçüncü taraf telekomünikasyon sağlayıcısı yapılandırmadığı takdirde oturum açarken geçiş anahtarı kaydetmek zorunda kalacak. Microsoft’un açıklamasına göre kayıt ekranı zorunlu olacak kullanıcılar kurulumu tamamlamadan oturum açma işlemine devam edemeyecek.
BT yöneticilerinin ilk aşamada hangi çalışanların değişiklikten etkileneceğini belirlemesi gerekiyor. Kuruluşların SMS veya sesli arama kullanımı için belgelenmiş iş, mevzuat ya teknik gereksinim bulunup bulunmadığını değerlendirmesi, ardından oltalamaya dayanıklı alternatiflerin ilgili ihtiyaçları karşılayıp karşılamadığını incelemesi öneriliyor. Böylece yöneticiler, yalnızca mevcut yöntemi kullanan hesapları değil, istisna gerektiren kullanıcı gruplarını geçiş planına dahil edebilecek.
Microsoft Security Store üzerinden telekomünikasyon sağlayıcısı seçmek isteyen kuruluşların bazı teknik ticari gereklilikleri karşılaması gerekecek. Satın alma işlemi için Azure faturalandırma aboneliği grubu bulunması, ayrıca işlemi gerçekleştiren yöneticinin uygun Azure abonelik rolüne sahip olması gerekiyor. Kuruluşların satın alma öncesinde sağlayıcıların coğrafi kapsama alanını, SMS sesli arama desteğini, fiyatlandırmasını, teknik desteğini uyumluluk özelliklerini karşılaştırması önem taşıyor.
Üçüncü taraf hizmet kullanımında telekomünikasyon sağlayıcısının ücretlerine ek olarak Azure altyapısıyla ilişkili maliyetler ortaya çıkabilir. Microsoft, yöneticilerin geçiş planını hazırlarken beklenen toplam harcamayı hesaplamasını satın alma süreçlerini gizlilik mevzuat gerekliliklerine göre değerlendirmesini öneriyor. Özellikle birden fazla ülkede faaliyet gösteren işletmelerin, çalışanların bulunduğu bölgelerde hizmet desteğini ilgili veri işleme koşullarını doğrulaması gerekiyor.
Microsoft, yöneticilerin geçiş sürecini planlarken Message Center üzerinden yayımlanan MC1519855 numaralı duyuruyu inceleyebileceğini belirtiyor. Kuruluşların ilgili kullanıcı gruplarını tespit etmesi, geçiş anahtarlarının kullanımını değerlendirmesi, alternatif telekomünikasyon sağlayıcılarını karşılaştırması satın alma gerekliliklerini önceden doğrulaması gerekiyor. Kullanıcıların son tarihte oturum açma sorunu yaşamaması için yeni kimlik doğrulama yöntemlerinin yürürlüğe girmeden önce test edilmesi önem taşıyor.
Türkiye’ Microsoft Entra ID kullanan işletmeler açısından değişiklik, özellikle kurumsal hesap güvenliği BT operasyonlarının planlanması bakımından önem taşıyor. Kuruluşların çalışanların kullandığı doğrulama yöntemlerini envanter üzerinden kontrol etmesi, gerekli kullanıcıları geçiş anahtarlarına yönlendirmesi SMS kullanımının zorunlu olduğu durumlar için alternatif sağlayıcı maliyetlerini hesaplaması gerekecek. Microsoft’un belirlediği tarihler yaklaşırken geçişi son ana bırakan işletmeler, zorunlu kayıt ekranları satın alma süreçleri nedeniyle kullanıcı erişiminde kesintilerle karşılaşabilir.
