Desde el 7 de noviembre, Microsoft 365 ya no dejará restablecer la contraseña con el celular que tienes en el directorio

Microsoft confirmó que a partir del 7 de noviembre de 2026 el autoservicio de restablecimiento de contraseñas de Microsoft Entra ID (SSPR, la opción "¿Olvidaste tu contraseña?" de Microsoft 365) deja de aceptar los datos de contacto que vienen del directorio. El celular, el teléfono de oficina o el correo alterno que alguien capturó en el perfil del usuario ya no servirán para verificar su identidad. Solo contarán los métodos que el usuario registró él mismo.

El cambio está en el aviso MC1325414 del Centro de mensajes de Microsoft 365. Originalmente estaba previsto para el 7 de septiembre y Microsoft lo recorrió dos meses. Desde el 5 de octubre corre una campaña que pide a los usuarios registrar métodos, así que si en tu empresa alguien vio esa pantalla la semana pasada y la saltó, ya tienes la primera pista de quién se va a quedar fuera.

Qué deja de funcionar

Hasta hoy, SSPR podía mandar el código de verificación a datos que estaban en atributos del directorio aunque el usuario nunca los hubiera registrado como método de autenticación. Microsoft menciona tres: mobilePhone (celular), businessPhone (teléfono de oficina) y otherMails (correos alternos). Son justo los campos que se llenan solos cuando sincronizas el Active Directory local con la nube o cuando recursos humanos da de alta al empleado.

Microsoft lo enmarca en su Secure Future Initiative: la verificación tiene que basarse en métodos que el usuario validó, no en un dato que cualquiera con permisos sobre el directorio pudo escribir o que quedó desactualizado hace años. Desde el punto de vista de seguridad tiene sentido. Un celular viejo en el perfil, que ahora tiene otra persona, es una puerta para que alguien restablezca una contraseña ajena.

A quién afecta

A todos los usuarios, incluidos los administradores, de los tenants que tienen SSPR activado, en la nube pública y en las nubes de gobierno de EE. UU.

Microsoft asegura que alrededor del 86% de las verificaciones de SSPR ya usan métodos registrados. Algunos análisis lo leen al revés, como que cerca del 14% de las organizaciones depende de los datos del directorio; no es la misma medida, pero en ambos casos el mensaje es que la mayoría no notará nada y una minoría tendrá un problema concreto.

En una PyME, los casos típicos son:

• Empresas con Active Directory local sincronizado, donde el celular se cargó en el servidor y nadie pidió a los usuarios registrarlo en la nube.
• Personal de piso, almacén o mostrador que casi no entra a Microsoft 365 y nunca completó el registro de métodos.
• Cuentas de administrador creadas hace años, con el teléfono del dueño o del proveedor anterior en el perfil.

Lo que pasa si no se corrige: el usuario intenta restablecer su contraseña, no puede terminar, y el sistema le dice que registre métodos o que hable con un administrador. Es decir, una llamada a soporte en el peor momento.

Qué hacer antes del 6 de noviembre

1. Saca la lista de quién no tiene métodos registrados. En el centro de administración de Microsoft Entra, en Métodos de autenticación → Detalles de registro de usuarios, filtra a los usuarios con SSPR habilitado y sin registro. Si prefieres PowerShell, el cmdlet Get-MgReportAuthenticationMethodUserRegistrationDetail permite filtrar IsSsprEnabled verdadero e IsSsprRegistered falso y exportarlo a CSV.
2. Empieza por los administradores. Una cuenta de administrador global que no puede recuperar su contraseña es un problema mayor que un usuario de mostrador. Asegúrate de que cada una tenga al menos dos métodos registrados y vigentes.
3. Confirma que la campaña de registro está activa y no la desactives por "molesta". Es la forma más barata de que los usuarios se registren solos.
4. No intentes resolverlo copiando datos. Prellenar el celular desde el directorio no cuenta como registro explícito: el usuario tiene que confirmarlo, o hay que usar las herramientas administrativas que Microsoft aprueba para eso.
5. Agenda una sesión de 15 minutos con quien no se registre solo. Para el personal de piso, lo más efectivo es hacerlo en persona: celular en mano, página Mi información de seguridad, registrar la app autenticadora o el número, y probar.
6. Deja escrito el procedimiento de soporte para quien se quede bloqueado después del 7: quién verifica la identidad, por qué medio y quién restablece. Sin eso, el riesgo es que alguien restablezca contraseñas por WhatsApp a quien "suena" como el empleado.

Contexto

No es un cambio grande para quien ya tiene la casa en orden. Es un cambio molesto para quien heredó un tenant configurado hace años y nunca pidió a sus usuarios registrar nada. La buena noticia es que hay tres semanas y media y que el trabajo es acotado: una lista, un filtro y unas cuantas sesiones cortas.

Si estás en pleno plan del mes de la ciberseguridad, esta tarea cabe en la semana de cuentas y accesos. Y si todavía no tienes un gestor de contraseñas en la empresa, es buen momento para atarlo al mismo esfuerzo: menos contraseñas olvidadas, menos restablecimientos.