Microsoft가 2027년 2월부터 Entra ID(기업 계정 관리 서비스)에서 SMS를 첫 번째 인증 수단으로 사용하는 방식을 폐기한다고 공식 발표했습니다. 이 변경이 적용되면 SMS나 음성 통화로 로그인하던 사용자는 더 이상 인증을 완료할 수 없으므로, 기업 관리자는 그 전에 사용자를 패스키·FIDO2 보안 키·QR 코드 인증 등 피싱(이메일 등을 이용한 사기성 계정 탈취) 방지 방식으로 전환해야 합니다. SMS 인증을 계속 유지하려면 Microsoft Security Store를 통해 서드파티 통신사를 별도로 연동해야 합니다. 관리자는 Microsoft가 제공하는 PowerShell 스크립트로 아직 SMS/음성 인증을 쓰는 사용자를 찾아낼 수 있습니다. 이번 달부터 패스키가 Entra ID의 기본 인증 방식으로 순차 적용되기 시작합니다.
Microsoft가 2027년 2월 1일부터 Entra ID 워크포스 테넌트에서 SMS 첫 번째 인증 방식을 공식 폐기한다고 공지했다. 이미 신규 테넌트에는 SMS 로그인이 비활성화된 상태이며, Entra ID Free 테넌트는 2025년 8월에 먼저 폐기됐다.
마이그레이션을 완료하지 않은 조직의 사용자는 2027년 2월 이후 SMS·음성 인증으로 로그인할 수 없어 업무 중단이 발생할 수 있다. Azure AD B2C 및 Microsoft Entra External ID 고객 ID 시나리오는 적용 대상이 아니다.
SMS 기반 인증은 피싱, 금융 사기(SIM 스와핑 등), 계정 탈취 위험에 구조적으로 취약하여 Microsoft가 보안 강화를 위해 단계적 폐기를 결정했다.
관리자는 패스키, FIDO2 보안 키, QR 코드 인증 등 피싱 방지 방식으로 사용자를 전환해야 한다. Entra SMS/Voice Policy Scanner PowerShell 스크립트로 대상 사용자를 식별하고, 전화 기반 인증이 반드시 필요한 경우 Microsoft Security Store에서 서드파티 통신사를 연동한다.
2027년 2월 전까지 조직 내 SMS/음성 인증 사용자를 전수 파악하고 패스키 또는 FIDO2 키로 전환 계획을 수립해야 한다. 패스키 롤아웃이 시작되면 해당 사용자는 다음 MFA(다중 인증) 수행 시 패스키 등록 안내를 받게 된다.
본문
Microsoft가 관리자들에게 Entra ID 사용자를 패스키 등 피싱 방지 인증 방식으로 전환하도록 촉구했습니다. 2027년 2월부터 SMS 첫 번째 인증이 폐기되면 로그인 장애가 발생할 수 있기 때문입니다.
관리자가 선택할 수 있는 대안으로는 QR 코드 인증, FIDO2 보안 키, 그 외 Entra ID가 지원하는 인증 방식 등이 있습니다.
이 날짜 이전에 조직은 모든 사용자가 피싱 방지 방식을 사용하도록 전환을 완료해야 합니다. 전환하지 않으면 사용자는 더 이상 SMS나 음성 통화로 다중 인증(MFA)을 완료하거나 계정에 로그인할 수 없게 됩니다.
Microsoft는 지난 금요일 Microsoft 365 메시지 센터 업데이트를 통해 "SMS 로그인의 첫 번째 인증 방식 폐기는 자체 통신사 선택(Choose Your Own Telephony Provider) 기능을 통해 SMS나 음성을 다중 인증 방식으로 계속 사용하더라도 동일하게 적용된다"고 밝혔습니다.
"현재 조직에서 첫 번째 인증으로 SMS 로그인을 사용하고 있다면, 사용 시나리오에 맞는 지원 대안으로 사용자를 마이그레이션하십시오."
Microsoft는 피싱·사기·계정 탈취 위험을 이유로 2025년 8월 Microsoft Entra ID Free 테넌트에서 SMS 첫 번째 인증을 먼저 폐기했으며, 새로 생성되는 테넌트에서는 이미 SMS 로그인을 활성화하지 않고 있습니다.
이번 폐기는 Microsoft Entra ID 워크포스 테넌트 인증 시나리오에만 적용되며, Azure AD B2C 또는 Microsoft Entra External ID 고객 ID 시나리오에는 해당되지 않습니다.
Microsoft는 Entra ID에서 피싱 방지 패스워드리스(passwordless) 인증을 배포·관리하는 방법에 대한 상세 가이드를 전용 문서 페이지에서 공유하고 있습니다.
패스키, Entra ID 기본 인증 방식으로 채택
지난 7월 Microsoft는 패스키가 이번 달부터 Entra ID 엔터프라이즈 ID 서비스의 기본 인증 방식으로 순차 적용(롤아웃)된다고 발표했습니다.
"롤아웃이 각 조직에 도달하면 SMS 또는 음성 인증이 활성화된 사용자는 자동으로 패스키도 활성화되며, 다음번 다중 인증 수행 시 패스키를 등록하라는 안내를 받게 됩니다."라고 Microsoft는 밝혔습니다.
"이 전환 이후인 2027년 2월 1일, Microsoft는 SMS 및 음성 인증에 대한 Microsoft 자체 통신 서비스 제공을 종료하며, SMS와 음성을 네이티브 Microsoft Entra 기능으로는 더 이상 제공하지 않을 예정입니다."
Global Reader, Authentication Policy Administrator, 또는 Security Reader 역할을 가진 관리자는 Entra SMS/Voice Policy Scanner PowerShell 스크립트를 실행해 SMS 또는 음성 인증 사용자를 확인할 수 있습니다.
전화 기반 인증을 반드시 유지해야 하는 조직은 Microsoft Security Store를 통해 서드파티 통신사를 구성해야 합니다.
AI 기반 공격을 대비하는 보안 청사진 구축
Mikko Hyppönen과 NFL, CHANEL, Atlassian의 보안 리더들이 함께하는 2시간짜리 디지털 서밋에 참여하세요. AI 속도의 공격이 무엇을 바꾸는지, 방어자가 멈춰야 할 것은 무엇인지, 그리고 머신 속도로 검증·결정·수정·재검증하는 방법을 다룹니다.
자리를 예약하세요
