MicrosoftのSMS認証および回復方法からの移行

2025年までに新しいアカウントでパスワードレスサインインを導入する計画を発表した後、Microsoftは個人アカウントにおけるSMS認証および回復方法を段階的に廃止する計画を明らかにしました。個人アカウントのユーザーは、サインインやアカウント回復のために代替手段に依存する必要があります。

SMS廃止の明確なタイムライン

MicrosoftはSMS機能の削除に関する最終的な締切日を提供していません。SMSが回復プロセスから完全に削除される前に、ユーザーはバックアップメールを確認する必要がある場合があります。公開された締切がないため、ユーザーにとっての当面の焦点は、SMSが廃止される前にパスキーやメール回復などの代替手段が機能していることを確認することです。

セキュリティ主導の方針変更

Microsoftは、この移行がセキュリティ向上であると強調しており、「SMS認証は現在、不正行為の主要な原因になっている」と述べています。この変更は通常のログイン手順の更新を超えて、SMS認証に関連する脆弱性を減少させることを目的とした、より広範な方針変更を意味します。

主な代替手段としてのパスキー

この新しいアプローチの下で、パスキーはSMSの主な代替手段として位置付けられています。パスキーは生体認証またはデバイスPINを活用し、モバイルネットワークを介して送信される6桁のコードを不要にします。この方法では、1つのキーをユーザーのデバイスに保存し、対応するキーをサービス側に保存するため、SMSコードと比較してフィッシング攻撃に対して大幅に強化されています。

パスワードレス移行のためのガイダンス

Microsoftのパスワードレスサインインに関する包括的なガイダンスには、Windows Hello、物理的なセキュリティキー、メール認証などの方法が含まれています。SMSが廃止される一方で、認証済みのメールはアカウント回復プロセスの重要な要素として残ります。日常的なアクセスは信頼されたデバイス上のパスキーに移行すると予想されますが、デバイスのロックアウト、ハードウェアの変更、または資格情報の紛失などのシナリオでは、別々の回復チェックが必要とされます。この二重層のアプローチは、単なるログイン更新を超えて、ユーザーが依存するバックアップメカニズムを根本的に変更します。

SMSなしでの回復における課題

SMSが回復オプションとして削除されることで、日常のログイン作業よりもアカウント回復が難しくなる可能性があります。パスキーの採用や回復メールの更新を遅らせているユーザーは、ロックアウト時により厳格な所有権確認に直面する可能性があります。MicrosoftがSMS削除の固定されたタイムラインを設定していないため、ユーザーはパスキーを追加したり、メール回復をテストしたり、古いデバイスやソフトウェアが更新されたサインイン方法に対応していることを確認する準備の機会を得ています。

古いシステムとの互換性問題

Microsoftは、古いシステムやアプリケーションでは依然として従来のパスワードが必要な場合があることを認めています。例として、Xbox 360、Office 2010以前、POPおよびIMAPメール、特定のリモートデスクトップやコマンドラインのシナリオが挙げられます。消費者アカウントをSMS認証から移行することは理論上は簡単ですが、古いデバイスやソフトウェアが互換性の課題を引き起こします。

これらのレガシーシステムはしばしば隠れた依存関係として機能し、ユーザーが失敗に直面したときにのみ回復問題が明らかになる場合があります。たとえば、POPおよびIMAPメール接続は家庭内で何年も継続することで悪名高いです。同様に、古いOfficeインストールやゲームコンソールは、依然として古い認証方法に依存している可能性があります。

パワーユーザー向けの特別な考慮事項

仮想マシンサインインなどの高度なユースケースでは、パスキーのみのフレームワークで不便が残る可能性があります。パワーユーザーはこれらのエッジケースに慎重に対応する必要がありますが、これらはMicrosoftの方針変更の主要な焦点ではありません。

推奨から義務化への移行

Microsoftは、2025年までに新しいアカウントにパスワードレスサインインをデフォルトとして推奨していました。現在、同社はSMS認証を完全に削除することで、このアプローチを強制する方向に進んでいます。この移行は、パスワードレスオプションを推進する段階から、アカウントセキュリティ戦略の一環として義務化する段階への転換を示しています。

将来への影響

Microsoftは2026年3月にフィッシング耐性のあるWindowsサインインを導入しましたが、これらの改善は従来のワークフロー、複合デバイスセットアップ、または従来のソフトウェアが期待する認証方法に関連するすべてのエッジケースに対処するものではありませんでした。依然として古いMicrosoftアカウントワークフローに依存しているユーザーにとって、SMSベースの回復およびサインインの最終的な締切日は引き続き重要なマイルストーンとして監視する必要があります。