- Microsoft 365のSMS認証がなくなるらしい、と聞いたけど本当？
- うちの社員はほぼ全員がSMSで多要素認証している。
- ある日突然ログインできなくなったら業務が止まってしまう…？
Microsoftから、多くの企業に関わる重大な発表がありました。
Microsoft Entra ID（Microsoft 365のID基盤）が提供しているSMS認証・音声通話認証が、2027年2月1日をもって廃止されるというものです。
さらにその前段として、2026年9月1日からは「パスキー」が既定の認証方法に切り替わります。
- SMS認証廃止の正確なスケジュールと、9月1日・2月1日に何が起きるのか
- 自社が影響を受けるかどうかの切り分け方（対象・対象外の一覧）
- SMS認証の代替となる5つの認証方法と、自社に合う選び方
- 兼務IT担当者でも進められる、移行の5ステップと落とし穴
本記事では、Microsoft公式ドキュメントの内容をもとに、発表の要点から具体的な移行手順まで、中小企業のIT担当者向けに整理して解説します。
Microsoft 365のSMS認証はいつ廃止される？発表の要点
Microsoftが提供するSMS・音声通話による多要素認証は、2027年2月1日に完全廃止されます。
その前段として、2026年9月1日からパスキーが既定の認証方法に切り替わります。
パスキーとは、指紋・顔認証やPINを使って、パスワードを入力せずにサインインする認証方式のことです。
認証情報が端末やパスワードマネージャーの中に安全に保管され、フィッシングサイトに盗まれない仕組みになっています。
公式に示されているスケジュールは次のとおりです。
| 時期 | 何が起きるか | 管理者がやるべきこと |
|---|---|---|
| 2026年9月1日 | SMS・音声が有効なユーザーに対して、パスキーが自動的に有効化される。MFAサインイン時にパスキー登録を促すメッセージ（ナッジ）が表示される | 変更内容を事前にユーザーへ周知する／パスキー利用の環境を準備する |
| 2026年9月18日 | Microsoft Security Storeで提供される通信プロバイダーの情報が公開される | SMS継続が必要な部門があるか洗い出す |
| 2026年10月30日 | Security Storeから通信プロバイダーを選択・構成できるようになる | 例外運用が必要な場合は契約・パイロット検証を行う |
| 2027年2月1日 | Microsoft提供のSMS・音声が完全に廃止される | この日までに全ユーザーをフィッシング耐性のある認証方法へ移行させる |
2026年9月1日：パスキーが「既定の認証」になる
9月1日以降、認証方法ポリシー（AMP）または従来のMFA設定でSMS・音声が有効になっているユーザーは、自動的にパスキーが有効化されます。
同時に登録キャンペーンの設定が「Microsoft管理」状態に更新され、これらのユーザーが自動的に対象へ含まれます。
対象ユーザーが次にサインインしてMFAを完了すると、パスキーの登録を促す画面が表示されます。
ただしこの時点では、ユーザーは回数無制限でスヌーズ（後回し）できます。
ヘルプデスクへの問い合わせが増える可能性があるため、9月1日より前の社内周知が重要です。
2027年2月1日：SMS・音声によるMFAが完全終了
2027年2月1日以降、Microsoftが提供するSMS・音声の配信は終了します。
この時点で利用できるMFA方法がSMSまたは音声しかないユーザーは、サインイン時にパスキーの登録を求められ、登録を完了するまで先に進めません（スキップできないブロック型のプロンプトになります）。
「アカウントからロックアウトされるのか」という点は公式FAQで否定されていますが、その場でパスキー登録を強制されるため、準備なしに迎えると現場は確実に混乱します。
しかも、この2月1日の適用についてオプトアウト（除外申請）はできません。
すべてのテナントに一律で適用されます。
なぜMicrosoftはSMS認証を廃止するのか
理由は、セキュリティの強化です。
Microsoftは公式FAQの中で、SMSと音声を「現在利用できる最も脆弱な認証方法の1つ」と位置づけており、パスキーと比べてフィッシングやアカウント侵害への防御力が大幅に劣ると説明しています。
多要素認証（MFA）とは、IDとパスワードに加えて別の要素で本人確認を行う仕組みのことです。
MFAの基本的な考え方については、以下の記事で解説しています。
アカウント乗っ取り対策の切り札！Microsoft 365の「多要素認証（MFA）」とは？
SMS認証が危険とされる3つの理由
「SMS認証は危険」と言われる背景には、次のような攻撃手口があります。
- SIMスワップ攻撃：
本人になりすまして携帯キャリアにSIM再発行を申請し、電話番号ごと乗っ取る手口 - リアルタイムフィッシング（AiTM攻撃）：
偽サイトでIDとパスワードを入力させ、続けて入力させたSMSコードもその場で本物のサイトへ横流しして突破する手口 - 通信経路・端末側の弱さ：
SMSは通信内容が暗号化されておらず、ロック画面のプレビューや不正アプリからのぞき見される余地がある
特に厄介なのがAiTM攻撃です。
MFAを設定していても、コードを人が読んで入力する方式である限り、その場で盗まれれば突破されます。
これに対しパスキーは、認証情報がアクセスしているサイトのドメインと紐づくため、偽サイトでは原理的に認証が成立しません。
これを「フィッシング耐性がある」と呼びます。
Microsoft 365の導入支援の現場でも、「MFAを入れているから大丈夫だと思っていたのに、不審なサインインの警告が出た」というご相談は珍しくありません。
MFAは入れて終わりではなく、どの方式で運用しているかまでが問われる時代です。
自社は影響を受ける？対象と対象外の切り分け
SMSまたは音声認証を有効にしているすべてのEntra IDテナント（パブリッククラウド）が対象です。
一方で、影響を受けないサービスや認証方法もあり、ここを取り違えると不要な対応に工数を割くことになります。
| 区分 | 対象／対象外 | 補足 |
|---|---|---|
| Microsoft 365（Entra ID）のMFA | 対象 | SMS・音声が2027年2月1日に廃止 |
| SSPR（セルフサービスパスワードリセット） | 対象 | Entra全体に適用されるため、SSPRの本人確認でもSMS・音声は使えなくなる |
| B2Bユーザー・内部ゲストユーザー | 対象 | これらのユーザー向けパスキー対応は2026年内に提供予定 |
| Microsoft Authenticatorのプッシュ通知・ワンタイムパスコード | 対象外 | 廃止されるのはSMSと音声のみ |
| 外部MFAメソッド（EAM） | 対象外 | SMS・音声も併用している場合を除き、範囲外 |
| Azure AD B2C | 対象外 | 今回の発表による変更なし |
| Microsoft Entra 外部ID | 今回は対象外 | 変更は翌年に実施予定で、別途アナウンスあり |
| ソブリンクラウド等のその他クラウド環境 | 今回は対象外 | パブリッククラウドのみが対象。他環境は後日のスケジュール |
誤解しやすいポイント：Microsoft Authenticatorは廃止されません
「Authenticatorのサービスも終了するのでは？」という不安の声を聞きますが、廃止されるのはSMSと音声通話だけです。
公式FAQでも、廃止対象は「SMSおよび音声認証方法のポリシーと従来のMFAポリシーのみ」と明記されています。
つまり、Microsoft Authenticatorアプリのプッシュ通知承認やワンタイムパスコード（6桁の数字コード）は、2027年2月1日以降も引き続き利用できます。
すでに全社でAuthenticatorアプリを使っている企業であれば、今回の廃止で即座に業務が止まることはありません。
ただしMicrosoftが推奨しているのはあくまでパスキーですので、中長期ではパスキーへの移行を計画に入れておくべきでしょう。
個人用Microsoftアカウントも段階的にSMS停止へ
法人テナントとは別に、個人用のMicrosoftアカウントについてもSMSコードの送信を段階的に停止する方針が示されています。
理由は法人向けと同じく、SMSベースの認証が詐欺の主要な入口になっているためです。
個人アカウント側では、パスキーと「確認済みメールアドレス」による回復が推奨されています。
SMS・音声認証を使っているユーザーを洗い出す方法
対応の第一歩は、自社テナント内でSMS・音声を使っているユーザーを特定することです。
Microsoftは専用のPowerShellスクリプトを公開しており、これを実行すれば対象ユーザーを一覧化できます。
- 必要な権限を用意する：
グローバル閲覧者、認証ポリシー管理者、セキュリティ閲覧者のいずれかのロールが有効になっていることを確認します - スクリプトを実行する：
Microsoftが公開している「entra-sms-voice-usage-analyzer」（GitHub）を取得し、対象テナントに対して実行します - 結果を確認する：
0件以外の結果が返ってきた場合、そのテナントは今回の廃止の影響範囲に含まれます - セキュリティグループを作成する：
抽出されたユーザーをまとめておきます。
後述する登録キャンペーンの対象指定と社内周知の宛先に、そのまま使えます
なお、Microsoft Entra管理センターの「認証方法アクティビティ」レポートからも登録済み認証方法の内訳を確認できます。
スクリプトの実行が難しい場合は、まずこちらで全体像を把握しましょう。
SMS認証の代替手段5選｜自社に合う認証方法の選び方
本命はパスキーです。
ただし全社員がいきなり移行できるとは限らないため、業務実態に合わせて複数の方式を組み合わせるのが現実的です。
| 認証方法 | フィッシング耐性 | 導入のしやすさ | 向いているケース |
|---|---|---|---|
| パスキー（同期／デバイスバインド） | 高い | 中 | Microsoft推奨の本命。全社員の標準にしたい場合 |
| Windows Hello for Business | 高い | 中 | 1人1台の業務PCが割り当てられている環境 |
| FIDO2セキュリティキー | 高い | 中（費用が発生） | 共有PC・工場・生体認証が使えない端末 |
| Microsoft Authenticator（プッシュ通知・ワンタイムパスコード） | 中 | 高い | まずSMSから避難したい場合の現実的な第一歩 |
| Security Store経由のSMS・音声（顧客管理型） | 低い | 低（契約と費用が必要） | 規制・運用上どうしてもSMSが必要な一部部門のみ |
1. パスキー（Microsoftの推奨する本命）
Entra IDがサポートするパスキーには、2つのタイプがあります。
- 同期されたパスキー：
iCloudキーチェーンやGoogleパスワードマネージャーなどに保存され、複数端末間で同期されるタイプ。すでに資格情報マネージャーを使っている人には最も導入しやすい - デバイスバインドパスキー：
Microsoft Authenticator内のパスキー、Windows上のEntraパスキー、FIDO2ハードウェアキーなど、特定の端末内に作成・保管されるタイプ
セキュリティを厳格に管理したい企業では、「同期パスキーは許可せず、デバイスバインドパスキーのみ許可する」方針を取るケースもあります。
認証方法ポリシーで許可する種類を制御できるため、移行を始める前に自社の方針を決めておくことが大切です。
2. Microsoft Authenticatorのプッシュ通知・ワンタイムパスコード
前述のとおり廃止対象外です。
すでにアプリを配布済みであれば、SMS利用者をこちらに寄せるだけでも2027年2月1日のブロックは回避できます。
ただしフィッシング耐性という点ではパスキーに劣るため、あくまで暫定策と位置づけましょう。
3〜4. FIDO2セキュリティキーとWindows Hello for Business
生体認証センサーのないPCや共有端末では、USB型のFIDO2セキュリティキーが有効です。
1人1台の業務PCが割り当てられている環境なら、Windows Hello for Businessが最もスムーズな選択肢になります。
似た名前の「Windows Hello」との違いは、以下の記事で整理しています。
「Windows Hello」と「Windows Hello for Business」は何が違う？仕組みとセキュリティの決定的な差を解説
パスワードレス認証全体の考え方と、Microsoft 365での導入メリットについては、こちらの記事もあわせてご覧ください。
5. どうしてもSMSが必要な場合：Security Storeの通信プロバイダー
規制業界での運用や帯域外SMSが必須の業務など、正当なビジネス上・規制上の理由がある場合は、Microsoft Security Store経由で通信プロバイダー（通信事業者）と直接契約することでSMS・音声を継続できます。
ただし公式FAQによれば、この方式には費用が発生します。
価格はプロバイダーとリージョンによって異なり、一般的にメッセージ単位の課金です。
一方、パスキーへ移行する分には追加コストは発生しません。
つまり、「今のままSMSを続ける」という選択肢は、実質的に有償オプションへの切り替えを意味します。
まずはパスキー移行を軸に検討し、どうしても外せない一部の部門だけ例外扱いにする進め方が現実的です。
移行ロードマップ｜5ステップ
移行は「対象把握 → 方針決定 → パイロット → 全社展開 → 周知」の順で進めます。
Microsoftも、スムーズな展開の最大の予測因子は「調整されたコミュニケーション」だと述べています。
ステップ1：対象ユーザーを洗い出す
前述のPowerShellスクリプトでSMS・音声利用者を特定し、セキュリティグループにまとめます。
ステップ2：許可する認証方法の方針を決める
同期パスキーを許可するか、デバイスバインドのみにするか。
FIDO2キーを配布する部門はどこか。
ここを曖昧にしたまま展開すると、あとから統制し直すことになります。
ステップ3：パイロットで「登録手順」を検証する
実務上つまずきやすいのが、パスキー登録の"鶏と卵"問題です。
パスキーを登録するにはMFAを通過する必要があり、SMSしか持たないユーザーは登録画面にたどり着けないことがあります。
この場合、管理者が発行する一時アクセスパス（TAP）で初回登録を通すのが定石です。
情シス数名で手順を検証し、社内マニュアルに落とし込みましょう。
ステップ4：登録キャンペーンで全社展開する
Entra管理センターの「Entra ID > 認証方法 > 登録キャンペーン」で、「状態」を「Microsoftマネージド」に設定し、ステップ1のセキュリティグループを対象にします。
対象ユーザーは次回サインインしてMFAを完了する際にパスキー設定を促されます。
ヘルプデスクの負荷を抑えつつ大規模にユーザーを動かす、最も効果的な方法です。
ステップ5：3段階でユーザーに周知する
Microsoftが推奨するのは、「認知（何がいつ変わるかの告知）→ 行動（端末別の登録手順の案内）→ リマインド（未登録者への催促）」という段階的な計画です。
メール・Teams・社内ポータルを使い分け、ステップ1のグループを宛先にすると無駄がありません。
9月1日に間に合わない場合の一時オプトアウト
自動パスキー有効化については、2026年9月1日から2027年2月1日までの期間限定で一時的にオプトアウトできます。
通信プロバイダーの構成や他方式への移行作業を進める間、パスキーの自動有効化と登録キャンペーンの展開を遅らせるための仕組みです。
設定にはMicrosoft GraphのPolicy.ReadWrite.AuthenticationMethod権限が必要で、認証方法ポリシーのpasskeyDynamicMigrationプロパティをtrueに更新します。
ただし繰り返しになりますが、2027年2月1日の適用そのものはオプトアウトできません。
あくまで「準備期間を確保するための猶予」だと理解しておきましょう。
移行でつまずきやすい5つの落とし穴
つまずきの大半は「パスキーを登録できない端末・アカウントが残る」ことに起因します。
事前に想定しておきたい典型的なケースと対策は次のとおりです。
| 落とし穴 | 対策 |
|---|---|
| フィーチャーフォン（ガラケー）利用者や、業務用スマホを持たない社員がいる | FIDO2セキュリティキーの配布、またはWindows Hello for Businessでの代替を検討する |
| 受付・工場などの共有アカウントがSMSに依存している | 共有端末に紐づくFIDO2キー運用へ切り替える。棚卸しのタイミングで個人アカウント化も検討する |
| スマホの機種変更でAuthenticatorや同期パスキーが引き継げない | 機種変更前のバックアップ手順を社内マニュアル化し、失敗時はTAPで復旧する運用を決めておく |
| SSPR（パスワードリセット）の本人確認がSMSのみになっている | SSPRもSMS廃止の対象。認証方法を追加登録させる案内を、MFA移行と同時に行う |
| 2027年2月直前に対応が集中し、ヘルプデスクがパンクする | 登録キャンペーンを早めに有効化し、余裕のある時期に登録を分散させる |
SSPRの仕組みや導入メリットについては、Microsoft 365のセルフパスワードリセット活用法で詳しく解説しています。
なお、パスキーや条件付きアクセスを含めた本格的なセキュリティ統制を行うには、Microsoft Entra ID P1が含まれるプランが前提になります。
中小企業でコストを抑えつつセキュリティを固めたい場合の選択肢は、次の記事が参考になります。
日々のトラブル、まずこの一冊で解決しませんか？
認証方式の切り替えが進むと、「サインインできない」「認証アプリが使えない」といった問い合わせが一時的に増えがちです。
Microsoft 365支援のプロが、現場で実際に寄せられるよくある質問と解決策を厳選してまとめた「トラブルシューティング大全」をご用意しました。
移行期のヘルプデスク対応にもそのままお使いいただけます。
▼資料ダウンロードはこちら
『社内からの「これどうやるの？」を9割削減する Microsoft 365 トラブルシューティング大全』
よくある質問（FAQ）
- QMicrosoftのSMS認証はいつから廃止になりますか？
- A
Microsoft Entra IDが提供するSMS認証は、2027年2月1日に廃止されます。
その前段として2026年9月1日から、SMS・音声が有効なユーザーに対してパスキーが自動的に有効化され、サインイン時に登録を促されるようになります。
- QMicrosoftの電話認証（音声通話）も廃止されるのですか？
- A
はい。
廃止対象はSMSと音声通話の両方で、どちらも2027年2月1日に終了します。
それ以降も継続したい場合はMicrosoft Security Storeを通じて顧客管理型の通信プロバイダーを構成する必要があり、その場合はメッセージ単位の費用が発生します。
- QMicrosoft Authenticatorはなくなりますか？まだ使えますか？
- A
なくなりません。
今回廃止されるのはSMSと音声通話のみで、Microsoft Authenticatorアプリのプッシュ通知承認やワンタイムパスコードは引き続き利用できます。
ただしMicrosoftはより安全なパスキーへの移行を推奨しているため、中長期の計画にはパスキーを組み込んでおくことをおすすめします。
- Q二要素認証はアプリとSMSのどちらが安全ですか？
- A
アプリのほうが安全です。
SMSはSIMスワップ攻撃や通信経路上ののぞき見に弱く、コードを人が入力する方式のためフィッシングサイトにそのまま渡してしまうリスクがあります。
認証アプリのプッシュ通知はSMSより安全で、さらにパスキーは偽サイトでは原理的に認証が成立しないため、最も安全性が高くなります。
- Qパスキーが登録できない場合はどうすればよいですか？
- A
多くは「パスキー登録にMFAが必要なのに、SMSしか登録しておらず登録画面に進めない」というケースです。
この場合は管理者が一時アクセスパス（TAP）を発行し、それを使って初回登録を行います。
あわせて、テナントの認証方法ポリシーでパスキー（FIDO2）が有効か、同期パスキーが許可されているかも確認してください。
まとめ
Microsoft 365のSMS認証廃止について、要点を振り返ります。
- Microsoft提供のSMS・音声認証は2027年2月1日に廃止。2026年9月1日からパスキーが既定の認証方法になる
- 2月1日以降、SMS・音声しか持たないユーザーはサインイン時にパスキー登録を強制される（オプトアウト不可）
- 廃止対象はSMSと音声のみ。Microsoft Authenticatorのプッシュ通知やワンタイムパスコードは引き続き使える
- 第一歩は、PowerShellスクリプトでSMS・音声利用者を洗い出してセキュリティグループにまとめること
- 全社展開は「登録キャンペーン」と3段階の社内周知で進めるのが、ヘルプデスク負荷を抑える近道
面倒な変更に見えますが、これは自社のセキュリティレベルを一段引き上げる好機でもあります。
パスキーはパスワード入力すら不要になるため、慣れてしまえば社員にとっても日々のサインインがラクになる変更です。
期限に追われて慌てる前に、今のうちから計画的に進めていきましょう。
他社がどのようにMicrosoft 365を安全に活用しているか知りたい方へ 認証基盤の見直しをきっかけに、Microsoft 365全体の活用度も高めたいとお考えではありませんか。
そんな疑問をお持ちでしたら、ぜひ弊社の「中小企業の導入成功事例集」をご覧ください。
▼成果の出る Microsoft 365 活用法とは？中小企業の導入成功事例集をダウンロードする
