Microsoft aplicó el 7 de septiembre un cambio de seguridad de identidad que afecta a toda organización que use el restablecimiento de contraseña autoservicio (SSPR) de Microsoft Entra ID: los atributos de directorio como teléfono móvil, teléfono de oficina o correo alterno (mobilePhone, businessPhone, otherMails) ya no sirven para verificar la identidad de un usuario al restablecer su contraseña, salvo que ese mismo dato haya sido registrado explícitamente como método de autenticación.

Por qué Microsoft hizo este cambio

Hasta ahora, SSPR aceptaba como prueba de identidad cualquier dato de contacto que existiera en el directorio — incluso si el propio usuario nunca lo confirmó ni lo registró como método de recuperación. Un número de teléfono cargado por un administrador años atrás, o un correo alterno heredado de una migración, podía usarse para restablecer una contraseña sin que el dueño de la cuenta lo supiera. El cambio elimina esa brecha: ahora solo cuentan los métodos que el usuario o un administrador registraron explícitamente a través del portal de autenticación.

Un método que el usuario confirmó explícitamente es una prueba de identidad más fuerte que un dato copiado de un campo del directorio que nunca verificó — esa es la lógica detrás del cambio.

Qué debe revisar el equipo de TI ahora mismo

El riesgo real de no actuar a tiempo

El escenario más común no es un ataque — es un empleado que un día necesita restablecer su contraseña, descubre que su método de recuperación ya no funciona, y termina bloqueado justo cuando más lo necesita. Para una empresa mediana sin un proceso claro de mesa de ayuda, esto puede traducirse en horas de productividad perdidas multiplicadas por cada usuario que nunca registró un método propio.

La entrada Entra ID endurece el restablecimiento de contraseñas aparece primero en Sistemas JVR.