Microsoft vừa phát đi một thông báo quan trọng đến các quản trị viên công nghệ thông tin, yêu cầu ngừng sử dụng phương thức xác thực qua tin nhắn SMS và giọng nói. Nguyên nhân chính được công ty chỉ ra là sự gia tăng các cuộc tấn công lừa đảo trực tuyến sử dụng trí tuệ nhân tạo (AI).

Trong một email được trang Windows Latest phát hiện, Microsoft nhấn mạnh rằng kỷ nguyên AI đòi hỏi các biện pháp xác thực mạnh mẽ hơn để chống lại các cuộc tấn công lừa đảo. AI đã giúp những kẻ tấn công, ngay cả những kẻ có kỹ năng hạn chế, dễ dàng thao túng các kênh SMS và thoại. Việc hoán đổi SIM cũng trở nên đơn giản hơn, cho phép kẻ xấu chuyển số điện thoại của nạn nhân sang thẻ SIM chúng kiểm soát mà không cần nhiều nỗ lực.

Công ty cho biết họ đang chứng kiến sự gia tăng mạnh mẽ các cuộc tấn công dựa trên AI nhằm đánh cắp mật khẩu và mã xác thực đa yếu tố (MFA), với tỷ lệ thành công cao hơn đáng kể so với các nỗ lực lừa đảo trước đây không sử dụng AI. Mặc dù AI không trực tiếp hack thẻ SIM, nhưng nó đã làm cho việc lừa đảo trở nên dễ dàng hơn, khiến người dùng tự nguyện cung cấp thông tin đăng nhập.

Lộ trình thay đổi xác thực của Microsoft

Microsoft đã công bố lộ trình hai bước cho việc chuyển đổi này. Kể từ ngày 1/9, người dùng Entra ID (trước đây là Azure AD) sử dụng xác thực qua SMS hoặc giọng nói sẽ được yêu cầu thiết lập mật khẩu trong quá trình đăng nhập. Nếu chưa sẵn sàng cho sự thay đổi này, người dùng nên chuyển sang phương thức xác thực khác trước khi quá trình triển khai bắt đầu.

Đến ngày 1/2/2027, Microsoft sẽ ngừng hoàn toàn xác thực bằng SMS và giọng nói cho Entra ID, và mã khóa sẽ trở thành yêu cầu bắt buộc. Tất cả người dùng sẽ bị ảnh hưởng, không có ngoại lệ.

Với những người sử dụng tài khoản Microsoft cá nhân cho Outlook, Xbox hoặc Windows 11, họ cũng sẽ không tránh khỏi sự thay đổi này. Công ty đã bắt đầu loại bỏ dần xác thực qua SMS cho các tài khoản cá nhân, mặc dù chưa có thời hạn cụ thể nào được xác nhận cho người dùng thông thường.

Theo khuyến cáo, người dùng không nên chờ đợi Microsoft tự động kích hoạt tính năng này. Hãy thiết lập mật khẩu ngay bây giờ hoặc chuyển sang sử dụng Microsoft Authenticator nếu thấy phù hợp hơn. Việc chỉ sử dụng mật khẩu không còn đủ an toàn, đặc biệt khi AI đang làm gia tăng các vụ lừa đảo trực tuyến.