Microsoft 365にログインするとき、携帯電話にショートメッセージで確認コードが届いていませんか。Microsoftがそのメッセージを配信する仕組みが、2027年2月1日に終わります。電話がかかってくる方式も同じ日に終わります。Microsoftが2026年7月に告知し、9月に日程を更新した変更です。何に切り替えればよいのか、いま何を確認しておけばよいのかを、順番にまとめました。
2027年2月1日、Microsoftが配信するSMSが終わります
Microsoft 365やTeams、Outlookなどにログインするとき、パスワードのあとに数字の確認コードを入れている方がいます。そのコードが携帯電話にショートメッセージで届いているなら、今回の変更の対象です。電話がかかってきて確認する方式も同じです。
Microsoftは、このメッセージと電話を自社で配信することをやめます。期日は2027年2月1日です。
自社で通信事業者を手配すれば、SMSと音声を使い続けられます。手配しない場合に、届かなくなります。手配の進め方は後ほど触れます。
Microsoft Authenticatorなどのアプリによる認証は、今回の廃止の対象ではありません。通知を承認する方式も、アプリに表示される確認コードを入力する方式も、引き続き使えます。ただし、SMSや音声もあわせて有効になっている方は、パスキーの登録を促される対象に入ります。
止まるとどうなるのか。ほかの方法を登録していない方は、ログインの途中でパスキーの登録を求められます。登録を終えるまで、先へ進めません。
締め出されるわけではありません。ただし、朝いちばんの忙しい時間に、はじめての設定作業が発生します。
移行先として勧められているのはパスキーです
Microsoftが主な移行先として挙げているのはパスキーです。端末やパスワード管理の機能に保存された鍵を、指紋や顔、端末の暗証番号などで解除してサインインします。
Microsoft Authenticatorなどの認証アプリも、引き続き使えます。すでに社内で使っている方がいるなら、そこへ揃える形でも構いません。ただしMicrosoftが勧めているのは、偽サイトに渡せる情報を持たない方式のほうです。
パスキーの機能そのものに、Microsoft Entraの追加のライセンス費用はかかりません。すべてのプランに含まれているためです。ただし、端末の条件を確認したり、使い方を社内に伝えたりする手間は残ります。
なお、SMSや音声を使い続ける必要がある場合は、2026年10月30日からMicrosoft Security Storeで通信事業者を選べるようになる予定です。期限までに設定と利用者の移行を終えれば、引き続き使えます。契約と設定に加えて、通信の費用が継続してかかります。
パスキーや認証アプリと比べて、どちらが自社に合うかを判断することになります。
なぜ電話番号をやめるのか
ショートメッセージで届く確認コードは、長いあいだ安全の目印として使われてきました。その前提が崩れてきたためです。
偽のログイン画面を作り、入力された数字をその場で本物のサイトへ渡す手口があります。人が読んで打ち込める形をしている以上、横から渡されることを防げません。
電話番号そのものを奪う手口もあります。本人になりすまして携帯電話会社に再発行を申し込み、番号を乗っ取る方法です。
パスキーが強いのは、渡せる文字列が存在しないためです。鍵は登録した相手にだけ反応するので、偽の画面に差し出すことができません。
グローバル管理者と外部ユーザーは、止まる日が違います
1つ、知っておいていただきたい例外があります。
Microsoft Entraで「グローバル管理者」というロールを持つアカウントと、外部ユーザーは、2027年7月1日まで猶予されます。それ以外の方は2月1日です。
会社での肩書きとは関係がありません。管理者として登録されていても、ユーザー管理者など別のロールであれば2月1日の組に入ります。
自分がどのロールなのかは、Microsoft 365の管理センターで確認できます。従業員の方の設定を先に見ておくと、2月に慌てずに済みます。
いま確認しておきたい3つのこと
誰がSMSや音声で受け取っているか
まず、確認コードをショートメッセージや電話で受け取っている人を洗い出してください。そのうえで、その方がパスキーや認証アプリを登録できる端末を持っているかを確かめます。
設定の棚卸しをする機会でもあります。すでに退職した方の番号が登録されたままになっていないか、この機会に見ておく価値があります。
パスワードを忘れたときの復旧手段
今回の変更は、パスワードを自分で再設定する仕組みにも及びます。通信事業者を自社で手配せず、復旧の連絡先がMicrosoft提供のSMSや音声だけになっていると、その方法での再設定もできなくなります。
メールアドレスや認証アプリを復旧の手段として使えるかどうかは、管理者側の設定によります。あわせて確認しておくと安心です。
誰がMicrosoftからの連絡を見ているか
今回の告知は、Microsoft 365の管理画面にある「メッセージセンター」という場所に出ています。既定では、週に1回のまとめメールが管理者の主要なメールアドレスへ届く設定になっています。
届いていても、読む人が決まっていなければ同じです。誰宛てに届いているか、その人が目を通しているか。この2つを先に確認してください。
社内に詳しい方がいない場合
設定を触る役目が社内にいないことも多いと思います。その場合は、契約しているIT関連の事業者か、Microsoftのサポート窓口に、今回の変更について確認してみてください。
伝える内容は「多要素認証をSMSで受けているので、2027年2月の廃止に向けて設定を変えたい」で通じます。
まとめ
期日は2027年2月1日です。この記事を書いている時点で、残りはおよそ4か月あります。
確認したいのは3つです。誰がSMSや音声で確認コードを受け取っているか。パスワードを忘れたときの復旧手段が何になっているか。そして、Microsoftからの連絡を誰が見ているか。
これに加えて、グローバル管理者と外部ユーザーに該当する方がいるかどうかも見ておいてください。止まる日が変わります。
ここまで分かれば、2月までに何をすればよいかの形が見えてきます。朝にログインできない日を作らないために、いまのうちに一度だけ目を通しておくことをおすすめします。
コメント