Microsoft akan menjadikan passkey sebagai metode autentikasi default dalam layanan identitas dan akses berbasis cloud Entra ID mulai 1 September 2026. Langkah ini mengakhiri masa transisi yang memberikan opsi SMS dan suara hingga 1 Februari 2027. Perubahan tersebut mencerminkan respons terhadap meningkatnya ancaman siber yang memanfaatkan kecerdasan buatan untuk memperkuat serangan phishing dan pencurian kredensial.
Passkey memungkinkan pengguna melakukan autentikasi melalui pemindaian sidik jari, wajah, atau mekanisme layar kunci perangkat, tanpa memasukkan kata sandi. Kredensial ini dapat disimpan pada kunci USB fisik seperti YubiKey maupun pengelola kredensial digital di komputer dan ponsel. Metode ini menghilangkan transmisi rahasia bersama yang rentan dicuri, sehingga mengurangi permukaan serangan secara signifikan dibandingkan dengan SMS atau panggilan suara.
Microsoft menetapkan jadwal peluncuran yang terstruktur. Pada 1 September 2026, seluruh pengguna yang masih menggunakan SMS atau suara akan secara otomatis diarahkan untuk mendaftarkan passkey saat masuk dengan autentikasi multifaktor. Tanggal 18 September 2026 akan diumumkan harga, ketentuan komersial, serta daftar penyedia telekomunikasi yang didukung untuk kasus khusus. Mulai 30 Oktober 2026, perusahaan yang masih memerlukan SMS atau suara harus memilih penyedia telekomunikasi melalui Microsoft Security Store dan menanggung biaya terkait. Setelah 1 Februari 2027, pengiriman SMS dan suara yang disediakan Microsoft akan dihentikan sepenuhnya.
Perubahan ini membawa dampak luas terhadap ekosistem identitas perusahaan. Karena Entra ID menjadi pusat infrastruktur identitas banyak organisasi, penerapan default passkey mendorong adopsi standar FIDO secara lebih luas di seluruh industri teknologi. Organisasi yang mengandalkan aplikasi lama kini terdorong untuk mempercepat modernisasi sistem agar tetap kompatibel dengan autentikasi tanpa kata sandi.
Selain meningkatkan keamanan, transisi ini berpotensi menurunkan biaya operasional jangka panjang. Perusahaan tidak lagi perlu mengelola reset kata sandi dalam skala besar atau melatih karyawan menghadapi serangan phishing yang semakin canggih. Meskipun demikian, organisasi harus tetap melengkapi passkey dengan perlindungan titik akhir, pemantauan berkelanjutan, serta kebijakan akses bersyarat untuk mengatasi risiko pencurian sesi atau kompromi perangkat.
Untuk mempersiapkan diri, perusahaan disarankan meninjau kebijakan autentikasi saat ini dan mengidentifikasi kelompok pengguna yang masih bergantung pada SMS atau suara. Pemilihan metode autentikasi yang sesuai dengan perangkat serta alur kerja karyawan menjadi langkah penting. Entra ID mendukung passkey tersinkron yang disimpan di pengelola kredensial platform serta passkey terikat perangkat seperti Microsoft Authenticator atau kunci keamanan FIDO2.
Organisasi juga perlu menyusun prosedur pendaftaran dan pemulihan yang jelas, serta memberikan edukasi kepada karyawan mengenai cara kerja passkey. Praktik pengelolaan perangkat yang aman dan penerapan prinsip hak akses minimal harus tetap ditegakkan selama masa transisi. Langkah Microsoft ini menandai pergeseran dari autentikasi berbasis kata sandi menjadi standar yang lebih tangguh dalam menghadapi ancaman siber yang terus berkembang.
