Microsoft, yapay zekâ destekli kimlik avı saldırılarının artması nedeniyle kurumsal kimlik doğrulama stratejisinde önemli bir değişikliğe gidiyor. Şirket, Microsoft Entra kullanan kuruluşlarda SMS ve sesli çok faktörlü kimlik doğrulama yöntemlerinin yeterli güvenliği sağlamadığını belirterek geçiş anahtarı zorunluluğu getireceğini açıkladı. Microsoft’un planına göre 1 Şubat 2027 tarihinden itibaren Entra ortamlarında SMS ve ses tabanlı MFA varsayılan seçenek olmaktan çıkacak.

Yapay Zekâ Kimlik Doğrulama Yöntemlerini Hedef Alıyor

Microsoft’a göre üretken yapay zekâ teknolojileri, sahte oturum açma sayfalarının hazırlanmasını, kimlik bilgilerinin çalınmasını ve SIM değiştirme (SIM swap) saldırılarının yürütülmesini önemli ölçüde kolaylaştırdı. Bu nedenle uzun yıllardır kullanılan SMS ve ses doğrulama yöntemleri, günümüz tehditlerine karşı yeterli korumayı sağlayamıyor.

Şirket, yapay zekâ çağında kimlik avına dayanıklı yöntemlerin zorunlu hâle geldiğini vurgularken Microsoft Entra geçiş anahtarı kullanımının varsayılan kimlik doğrulama deneyimi olacağını duyurdu. Microsoft daha önce bireysel Microsoft hesaplarında da SMS doğrulama kodlarını aşamalı olarak kaldıracağını açıklamıştı. Yeni karar ise aynı yaklaşımın kurumsal müşterilere de uygulanacağını gösteriyor.

Microsoft’un paylaştığı takvime göre 1 Eylül 2026’dan itibaren kullanıcılar çok faktörlü kimlik doğrulama sırasında geçiş anahtarı kaydetmeye yönlendirilecek. 1 Şubat 2027 itibarıyla ise Microsoft tarafından sağlanan SMS ve sesli MFA hizmetleri tamamen devre dışı bırakılacak. Kuruluşlar, telekom tabanlı doğrulamaya devam etmek istiyorsa kendi hizmet sağlayıcılarını Microsoft Security Store üzerinden yapılandırmak zorunda kalacak.

Geçiş Anahtarları Nasıl Çalışıyor?

Microsoft, geçiş anahtarlarının ortak gizli bilgiler yerine açık anahtar şifrelemesini kullandığını belirtiyor. Kimlik doğrulama sırasında özel anahtar kullanıcının cihazından dışarı çıkmadığı için sahte giriş ekranları veya kimlik avı saldırılarıyla ele geçirilmesi büyük ölçüde engelleniyor.

Şirket, iki farklı kullanım modeli sunuyor. Senkronize edilen geçiş anahtarları iCloud Keychain veya Google Password Manager gibi platformlar arasında taşınabiliyor. Cihaza bağlı geçiş anahtarları ise Windows Hello for Business, FIDO2 güvenlik anahtarları veya Microsoft Authenticator gibi çözümler üzerinde çalışıyor. Microsoft, sistem yöneticileri ve yüksek güvenlik gerektiren görevlerde cihaza bağlı kimlik doğrulama yöntemlerinin tercih edilmesini öneriyor.

Kuruluşların geçiş sürecine hazırlık kapsamında hâlen SMS veya sesli MFA kullanan hesapları belirlemesi, kullanıcılarını önceden bilgilendirmesi ve cihaz uyumluluğunu kontrol etmesi tavsiye ediliyor. Microsoft bu amaçla PowerShell tabanlı bir tarama aracı da yayınladı.

Microsoft, yapay zekâ destekli saldırıların hız kazanmasıyla birlikte geleneksel doğrulama yöntemlerinin güvenlik açısından yetersiz kaldığını değerlendiriyor. Şirket, Microsoft Entra geçiş anahtarı kullanımının yaygınlaşmasıyla kimlik avı saldırılarının etkisinin azaltılmasını hedeflerken kuruluşların 1 Şubat 2027 tarihinden önce geçiş planlarını tamamlamasını öneriyor. Böylece hem kullanıcı hesaplarının korunması güçlenecek hem de yapay zekâ destekli sosyal mühendislik saldırılarına karşı daha dirençli bir kimlik doğrulama altyapısı oluşturulabilecek.