Entra เลิก SMS MFA 1 ก.พ. 2027: ย้ายไป passkey หรือจ้างผู้ให้บริการ SMS เองตั้งแต่ 30 ต.ค.
Microsoft ยืนยัน Entra เลิก SMS MFA ที่ส่งให้เอง 1 ก.พ. 2027 และเปิด CYOT ให้องค์กรจ้างผู้ให้บริการ SMS เองได้ 30 ต.ค. 2026 ใครเหลือแต่ SMS ต้องใช้ passkey
โดย กองบรรณาธิการ THAI DATA อ่าน 5 นาที
สรุปประเด็นสำคัญ
- ข้อความ MC1519855 และประกาศ Azure Updates วันที่ 21 ตุลาคม 2026 ระบุว่า Microsoft Entra ID จะเปิด Choose Your Own Telephony (CYOT) ให้องค์กรเลือกผู้ให้บริการ SMS และโทรศัพท์ภายนอกได้ตั้งแต่ 30 ตุลาคม 2026
- Entra เลิก SMS MFA และการโทรยืนยันตัวตนที่ Microsoft ส่งให้เองใน 1 กุมภาพันธ์ 2027 สำหรับผู้ใช้ทุกคน ยกเว้น Global Administrator และผู้ใช้ภายนอกที่ได้เวลาถึง 1 กรกฎาคม 2027
- หลัง Entra เลิก SMS MFA ในปี 2027 ผู้ใช้ที่เหลือวิธี MFA เป็น SMS หรือโทรเพียงอย่างเดียวจะถูกบังคับลงทะเบียน passkey ระหว่างลงชื่อเข้าใช้ และ Microsoft ระบุว่าไม่มี opt-out สำหรับขั้นนี้
- ผู้ให้บริการชุดแรก 2 รายในช่วง private preview คือ Soprano และ Telesign ซื้อผ่าน Microsoft Security Store ซึ่งต้องมี Azure subscription และองค์กรจ่ายค่าบริการกับผู้ให้บริการเอง
Microsoft แจ้งเมื่อ 21 ตุลาคม 2026 ว่าจะเปิดให้องค์กรเลือกผู้ให้บริการ SMS และโทรศัพท์ของตัวเองใน Microsoft Entra ID ได้ตั้งแต่ 30 ตุลาคม 2026 ซึ่งเป็นทางรองรับก่อน Entra เลิก SMS MFA และการโทรยืนยันตัวตนที่ Microsoft ส่งให้เองในวันที่ 1 กุมภาพันธ์ 2027 ผู้ใช้ที่เหลือแค่ SMS หรือโทรจะถูกบังคับลงทะเบียน passkey ก่อนเข้าระบบ
เรื่องนี้กระทบทุกองค์กรที่ให้พนักงานลงชื่อเข้า Microsoft 365 ด้วยรหัสทาง SMS หรือรับสายยืนยันตัวตน เพราะ Entra ID คือระบบยืนยันตัวตนของ Microsoft 365 ทั้ง Outlook, Teams และ SharePoint ส่วนบัญชี Global Administrator และผู้ใช้ภายนอกได้เวลาเพิ่มถึง 1 กรกฎาคม 2027
Entra เลิก SMS MFA เมื่อไร ใครโดนก่อน
หน้า Microsoft Learn เรื่อง passkey เป็นค่าเริ่มต้น กับข้อความ MC1519855 กำหนดลำดับไว้ดังนี้
| วันที่ | สิ่งที่เกิดขึ้น | กลุ่มที่โดน |
|---|---|---|
| 1 ก.ย. 2026 | passkey เป็นวิธีลงชื่อเข้าใช้เริ่มต้น ผู้ใช้ที่เปิด SMS หรือโทรถูกเปิด passkey ให้อัตโนมัติ และถูกชวนลงทะเบียนหลังผ่าน MFA | ผู้ใช้ที่เปิด SMS หรือโทรไว้ |
| 30 ต.ค. 2026 | เริ่มตั้งค่าผู้ให้บริการโทรศัพท์ภายนอก (CYOT) ผ่าน Microsoft Security Store | องค์กรที่ยังต้องใช้ SMS หรือโทร |
| 1 ก.พ. 2027 | Microsoft หยุดส่ง SMS และโทรยืนยันตัวตนให้ | ผู้ใช้ทุกคน รวม internal guest ยกเว้น Global Administrator และผู้ใช้ภายนอก |
| 1 ก.ค. 2027 | หยุดส่งให้กลุ่มที่เหลือ | Global Administrator และผู้ใช้ภายนอก |
เมื่อ Entra เลิก SMS MFA ของแต่ละกลุ่มแล้ว ผู้ใช้ที่มีวิธี MFA เหลือแค่ SMS หรือโทรจะต้องลงทะเบียน passkey ระหว่างลงชื่อเข้าใช้ Microsoft เขียนว่าหน้าจอนี้ "blocking" คือไปต่อไม่ได้จนกว่าจะลงทะเบียนเสร็จ และไม่มีทางเลือกไม่เข้าร่วม (opt-out) สำหรับขั้นนี้ ส่วนผู้ใช้ที่ใช้ passkey, Windows Hello for Business หรือวิธีที่ต้านฟิชชิงอยู่แล้วใช้งานต่อได้ตามเดิม
CYOT: ทางเลือกของผู้ที่ยังต้องใช้ SMS หลัง Entra เลิก SMS MFA
Choose Your Own Telephony (CYOT) คือการให้ผู้ให้บริการภายนอกเป็นฝ่ายส่ง SMS และโทรยืนยันตัวตนแทน Microsoft โดย Entra ID ยังบังคับนโยบายวิธียืนยันตัวตน (Authentication methods policy) และคุมขั้นตอนลงชื่อเข้าใช้เหมือนเดิม รายละเอียดจากข้อความ MC1519855 และหน้า Microsoft Learn มีดังนี้
- ซื้อที่ไหน เลือกผู้ให้บริการผ่าน Microsoft Security Store การซื้อต้องมี Azure billing subscription, resource group และสิทธิ์ใน Azure subscription ที่เหมาะสม
- ผู้ให้บริการชุดแรก Soprano (มีทั้งแบบคิดต่อผู้ใช้และต่อรายการ) และ Telesign (Telesign Verify for Microsoft Entra) ซึ่งร่วมช่วง private preview และ Microsoft บอกว่าจะมีรายอื่นเพิ่มภายในช่วงเปิดใช้ทั่วไป
- ใครรับผิดชอบอะไร องค์กรทำสัญญากับผู้ให้บริการเอง ต้องตรวจพื้นที่ให้บริการและเงื่อนไข ตั้งค่า และเฝ้าดูบริการเอง
- ค่าใช้จ่าย Microsoft แนะนำให้ประเมินราคาของผู้ให้บริการรวมกับค่าโครงสร้างพื้นฐาน Azure ที่คาดว่าจะเกิดขึ้น ก่อนนำไปใช้จริง
Microsoft ย้ำว่าแม้ Entra เลิก SMS MFA แล้ว CYOT ก็มีไว้สำหรับกลุ่มผู้ใช้ที่มีเหตุผลทางธุรกิจ กฎระเบียบ หรือเทคนิคที่ต้องใช้โทรศัพท์จริง ๆ เท่านั้น ส่วนผู้ใช้อื่นควรใช้ passkey
ก่อน Entra เลิก SMS MFA: ย้ายผู้ใช้ไป passkey ตามที่ Microsoft แนะนำ
Microsoft อธิบายว่า passkey ใช้กุญแจเข้ารหัสแทนรหัสลับที่ส่งต่อกันได้ จึงต้านทั้งฟิชชิง การสลับซิม (SIM swap) และการนำรหัสไปใช้ซ้ำ Entra ID รองรับสองแบบ
- Synced passkey เก็บในตัวจัดการรหัสผ่านของระบบ เช่น iCloud Keychain หรือ Google Password Manager และซิงก์ข้ามเครื่องของผู้ใช้
- Device-bound passkey สร้างและเก็บบนอุปกรณ์เครื่องเดียว เช่น passkey ใน Microsoft Authenticator, Entra Passkey บน Windows หรือ FIDO2 security key
ขั้นตอนที่ Microsoft ให้ไว้คือ หาผู้ใช้ที่ยังเปิด SMS หรือโทรด้วยสคริปต์ PowerShell (ใช้สิทธิ์ Global Reader, Authentication Policy Administrator หรือ Security Reader) แล้วเปิดแคมเปญลงทะเบียนที่ Entra ID > Authentication methods > Registration campaign โดยตั้ง State เป็น Microsoft Managed และเลือกกลุ่มผู้ใช้เป้าหมาย
องค์กรที่ยังไม่พร้อมขอเลื่อนได้เฉพาะการเปิด passkey และแคมเปญลงทะเบียนอัตโนมัติช่วง 1 กันยายน 2026 ถึง 1 กุมภาพันธ์ 2027 โดยตั้งค่า passkeyDynamicMigration ในนโยบายวิธียืนยันตัวตนผ่าน Microsoft Graph (ต้องมีสิทธิ์ Policy.ReadWrite.AuthenticationMethod) แต่วันที่ Entra เลิก SMS MFA ไม่มีทางเลื่อน
ทำไมเรื่องนี้สำคัญ
Microsoft เขียนไว้ตรง ๆ ว่า SMS และการโทร "ไม่ถูกจัดเป็นวิธียืนยันตัวตนที่ปลอดภัยอีกต่อไป" และจะไม่มีให้ในตัว Entra ID อีก การที่ Entra เลิก SMS MFA จึงไม่ใช่แค่การเปลี่ยนค่าเริ่มต้น แต่เป็นการย้ายภาระของ SMS ทั้งต้นทุนและความรับผิดชอบไปไว้ที่องค์กรที่ยังอยากใช้ ขณะที่องค์กรซึ่งเปิด MFA ด้วย SMS เพราะตั้งง่ายตาม วิธีเปิด MFA Microsoft 365 ทั้งองค์กร จะต้องวางแผนย้ายผู้ใช้ภายในราว 3 เดือนนับจากวันนี้
สิ่งที่องค์กรไทยควรทำ
- นับผู้ใช้ที่ยังพึ่ง SMS ก่อน Entra เลิก SMS MFA แยกเป็นพนักงานทั่วไป บัญชี Global Administrator และผู้ใช้ภายนอก เพราะวันเลิกใช้ต่างกัน และอย่าลืมว่า internal guest อยู่ในรอบ 1 กุมภาพันธ์ 2027
- เปิดแคมเปญลงทะเบียน passkey เป็นกลุ่ม พร้อมสื่อสารเป็นภาษาไทยสามรอบตามที่ Microsoft แนะนำ คือแจ้งให้รู้ บอกขั้นตอนตามชนิดอุปกรณ์ และเตือนคนที่ยังไม่ทำ ดูวิธีตั้งค่า Passkey บัญชี Microsoft ประกอบได้
- เตรียมทางออกให้พนักงานที่ไม่มีสมาร์ตโฟน เช่น FIDO2 security key หรือ Windows Hello for Business บนเครื่องที่บริษัทจัดให้ แทนการพึ่ง SMS
- ถ้ากฎระเบียบหรือคู่สัญญาบังคับให้ใช้ SMS ให้เทียบผู้ให้บริการ CYOT เรื่องการส่งถึงเครือข่ายมือถือในไทย ราคา และเงื่อนไขการประมวลผลเบอร์โทรของพนักงาน ซึ่งเป็นข้อมูลส่วนบุคคลที่จะส่งไปยังผู้ให้บริการภายนอก ควรให้ฝ่ายกฎหมายดูข้อตกลงตาม PDPA ก่อนเซ็น
- ตั้งงบประมาณ สำหรับค่าบริการของผู้ให้บริการและค่า Azure ที่เกี่ยวข้อง ถ้าเลือกใช้ CYOT
ติดตามข่าว Microsoft 365 และซอฟต์แวร์องค์กรอื่น ๆ ได้ที่หมวด Enterprise Apps
คำถามที่พบบ่อย
Entra เลิก SMS MFA วันไหน?
Entra เลิก SMS MFA และการโทรยืนยันตัวตนที่ Microsoft ส่งให้เองในวันที่ 1 กุมภาพันธ์ 2027 สำหรับผู้ใช้ทุกคน รวมถึง internal guest ยกเว้น Global Administrator และผู้ใช้ภายนอก ซึ่งจะเลิกในวันที่ 1 กรกฎาคม 2027
หลัง 1 ก.พ. 2027 ผู้ใช้ที่ยังใช้ SMS จะเข้า Microsoft 365 ได้ไหม?
หลัง Entra เลิก SMS MFA ถ้าองค์กรไม่ได้ตั้งผู้ให้บริการโทรศัพท์ภายนอกไว้ ผู้ใช้ที่เหลือวิธี MFA เป็น SMS หรือโทรเพียงอย่างเดียวจะถูกบังคับให้ลงทะเบียน passkey ระหว่างลงชื่อเข้าใช้ หน้าจอนี้ข้ามไม่ได้จนกว่าจะลงทะเบียนเสร็จ และ Microsoft ระบุว่าไม่มีทางเลือกไม่เข้าร่วม
CYOT ใน Microsoft Entra คืออะไร ต้องเสียเงินไหม?
CYOT หรือ Choose Your Own Telephony คือทางที่ Microsoft เปิดไว้รองรับเมื่อ Entra เลิก SMS MFA โดยให้องค์กรเลือกผู้ให้บริการภายนอกส่ง SMS และโทรยืนยันตัวตนแทน Microsoft ผ่าน Microsoft Security Store เริ่มตั้งค่าได้ 30 ตุลาคม 2026 องค์กรทำสัญญาและจ่ายค่าบริการกับผู้ให้บริการเอง และอาจมีค่าโครงสร้าง Azure เพิ่ม
ขอเลื่อนการเปลี่ยนไปใช้ passkey ได้หรือไม่?
เลื่อนได้เฉพาะการเปิด passkey และแคมเปญลงทะเบียนอัตโนมัติช่วง 1 กันยายน 2026 ถึง 1 กุมภาพันธ์ 2027 โดยตั้งค่า passkeyDynamicMigration ผ่าน Microsoft Graph ส่วนการที่ Entra เลิก SMS MFA ตามวันที่กำหนดไม่มีทางเลือกไม่เข้าร่วม
แหล่งอ้างอิง
- MC1519855 - Microsoft Entra: Choose your own telephony provider for SMS and voice authentication — Microsoft 365 Message Center Archive
- Announcing: Choose Your Own Telephony (CYOT) for Microsoft Entra — Microsoft Azure Updates
- Passkeys by default and retirement of Microsoft-provided SMS and voice authentication — Microsoft Learn
- Choose a telephony provider for SMS and voice authentication — Microsoft Learn
บุคคล องค์กร และสถานที่ในข่าวนี้
เลือกชื่อเพื่ออ่านข่าวทั้งหมดที่กล่าวถึง ตัวเลขคือจำนวนข่าว
- องค์กรและบริษัท
- Microsoft124
- ผลิตภัณฑ์และเทคโนโลยี
- Microsoft Azure45Microsoft Entra16Microsoft 36540Microsoft Graph6Outlook19SharePoint14Windows Hello4iCloud11Google Password Manager3Microsoft Authenticator3Windows74
- กฎหมายและมาตรฐาน
- PDPA137
พบข้อมูลคลาดเคลื่อน? แจ้งกองบรรณาธิการ