Si usas Microsoft 365 en tu trabajo, es probable que hasta ahora hayas iniciado sesión recibiendo un código por SMS o una llamada de voz cuando te lo pedía. Ese método está llegando a su fin, y Microsoft ya ha puesto fecha. En su lugar, va a promover un sistema con un nombre que quizá no te suene: las passkeys.
No hace falta que entiendas de criptografía para seguir leyendo. Este post está pensado precisamente para quien usa Microsoft 365 cada día en el trabajo, pero no necesita saber cómo funciona por dentro. Solo necesita saber qué va a cambiar en su pantalla de inicio de sesión y qué tiene que hacer cuando aparezca.
Todo lo que relatamos a continuación aplica a tu cuenta de Microsoft de empresa, la que usas para entrar en Microsoft 365, Teams o el correo de tu trabajo. Si además tienes una cuenta personal de Microsoft (Outlook, Hotmail, Live… que uses para temas personales, fuera del trabajo), esa cuenta sigue su propio calendario y no le afecta lo que se explica aquí, por lo menos por ahora.
Qué va a cambiar y cuándo
Microsoft no va a apagar el SMS de un día para otro. Es un proceso por fases, y conocerlo te va a ahorrar sustos:
A partir del 1 de septiembre de 2026, si actualmente usas SMS o llamada de voz para el doble factor, empezarás a ver un aviso pidiéndote que registres una passkey la próxima vez que inicies sesión. No es obligatorio en ese momento, es una invitación.
El 1 de febrero de 2027, Microsoft deja de ofrecer el envío de SMS y llamadas de voz como servicio propio dentro de Microsoft 365. Las empresas que de verdad necesiten seguir usando SMS por algún motivo (regulatorio, técnico) podrán contratar ese servicio a un operador externo a través de Microsoft Security Store, pero ya no vendrá incluido por defecto.
A partir de ahí, el registro de una passkey pasa a ser obligatorio para cualquiera que todavía dependa de SMS o voz, sin opción de posponerlo.
Tienes por delante varios meses de margen. La idea de este calendario no es meter prisa, es dar tiempo suficiente para hacerlo bien.
Por qué Microsoft se está deshaciendo del SMS
El código por SMS parece seguro porque solo lo recibes tú, pero tiene un problema de fondo: viaja por un canal que se puede interceptar. Un atacante puede duplicar tu tarjeta SIM, engañarte para que le reenvíes el código, o directamente aprovecharse de vulnerabilidades en la red telefónica. Ninguna de esas técnicas es ya cosa de expertos aislados: se han vuelto accesibles y repetibles a mayor escala.
A esto se suma que las campañas de phishing generadas con inteligencia artificial son ahora mucho más efectivas que las de hace unos años, lo que hace que confiar en un código que se puede interceptar o que se puede sonsacar por teléfono sea, cada vez más, el eslabón débil de la cadena.
No es casualidad que Microsoft no sea el único en tomar esta dirección. Los bancos llevan tiempo haciendo lo mismo con la validación de operaciones: cada vez más entidades han ido sustituyendo el SMS por una confirmación directa dentro de su propia app, precisamente para evitar el mismo problema. Eso sí, no todas lo han hecho con el mismo rigor ni al mismo ritmo, así que conviene no dar por hecho que «validación en la app» significa siempre el mismo nivel de seguridad en todos los bancos. Ya hablamos en su momento de por qué el SMS se ha convertido en un canal cómodo para la suplantación de identidad en nuestro post sobre la llegada de RCS como sustituto del SMS.
Entonces, ¿qué es una passkey?
Haciendo una analogía simplificada: piensa en cómo funciona el sensor de huella o el reconocimiento facial de tu móvil para desbloquearlo. Una passkey funciona de forma parecida, pero para iniciar sesión en Microsoft 365: usas tu huella, tu cara o el PIN de tu dispositivo, y con eso basta. No hay ningún código que escribir, ni nada que puedan interceptarte por el camino, porque no viaja ningún código: tu dispositivo demuestra que eres tú sin necesidad de enviar nada que un atacante pueda robar o reutilizar.
La diferencia clave frente al SMS es esa: el código de un SMS es un secreto que viaja y que, si alguien lo intercepta, le sirve para entrar en tu lugar. La passkey no manda ningún secreto por ninguna parte, así que no hay nada que interceptar.
Existen dos formas de tener una passkey. Una vive dentro de tu propio dispositivo (el móvil, con Windows Hello, o la app Microsoft Authenticator) y queda ligada a él. La otra se sincroniza entre tus dispositivos a través de un gestor como el llavero de iCloud o el gestor de contraseñas de Google, de forma parecida a como ya se sincronizan hoy tus contraseñas guardadas.
Cómo te vas a encontrar el cambio en el día a día
Cuando te toque, no vas a tener que buscar nada por tu cuenta. Al iniciar sesión te va a aparecer un aviso pidiéndote que registres una passkey, con instrucciones en pantalla para hacerlo desde tu propio dispositivo. El proceso es guiado, dura un par de minutos y una vez hecho, entrar en Microsoft 365 va a ser más rápido que antes, no más lento: sin escribir códigos, sin esperar el SMS.
Qué puedes hacer ya, sin esperar al aviso
Si quieres adelantarte, puedes registrar tu passkey en cualquier momento desde tu cuenta de Microsoft 365, sin esperar a que te lo pida. Si tienes dudas sobre cómo hacerlo en tu caso concreto, o tu empresa todavía no ha empezado a planificar esta transición, en KDS podemos ayudarte a desplegarlo de forma ordenada, evitando que el aviso os pille por sorpresa a todos el mismo día.
