Microsoft waarschuwt Entra-klanten over uitfasering van sms-authenticatie in februari 2027

Microsoft Entra sms- en spraakverificatie wordt op 1 februari 2027 uitgefaseerd, waarmee Microsoft klanten begint over te zetten naar passkeys en andere phishingbestendige aanmeldmethoden.

Microsoft is begonnen met het mailen van getroffen Entra ID-organisaties over de aanstaande wijziging, aldus Neowin. Het bedrijf had eerder aangekondigd dat sms- en spraak-MFA in Entra ID zou worden uitgefaseerd, maar neemt nu rechtstreeks contact op met klanten nu de migratiedeadline nadert.

Microsoft start de overstap in september

Het migratieproces begint op 1 september 2026. Entra ID schakelt automatisch ondersteuning voor passkeys in voor gebruikers die nu afhankelijk zijn van sms- of spraakverificatie.

Getroffen gebruikers krijgen ook aanmeldprompts te zien die hen aanmoedigen een passkey te registreren. Microsoft dringt steeds sterker aan op passkeys naarmate aanvallen op wachtwoorden en verificatie geavanceerder worden.

Gebruikers die op 1 februari 2027 nog geen passkey of een andere ondersteunde phishingbestendige methode hebben geconfigureerd, krijgen tijdens het aanmelden een verplichte registratieblokkade. Zij moeten een geaccepteerde verificatiemethode configureren voordat ze toegang krijgen tot hun accounts.

Microsoft zegt dat sms-verificatie veiligheidsrisico’s met zich meebrengt

Microsoft stelt dat aanvallers steeds vaker sms-verificatie kunnen compromitteren via methoden zoals SIM-swapping en Adversary-in-the-Middle-phishing.

Passkeys vermijden tijdelijke verificatiecodes en wachtwoorden die aanvallers kunnen onderscheppen of stelen.

Organisaties die vanwege regelgeving of compliance telefonische verificatie moeten blijven gebruiken, hebben een andere optie. Microsoft staat hen toe gebruik te maken van door de klant beheerde telecomproviders die beschikbaar zijn via de Microsoft Security Store.

Prijzen van providers worden op 18 september 2026 bekendgemaakt, terwijl organisaties vanaf 30 oktober ondersteunde providers kunnen configureren.

Beheerders moeten nu betrokken gebruikers identificeren

IT-beheerders moeten hun Verificatiemethodenbeleid bekijken en accounts identificeren die nog altijd afhankelijk zijn van sms- of spraakverificatie, voordat de migratie in september van start gaat.

Microsoft raadt aan die gebruikers proactief over te zetten naar passkeys. Organisaties kunnen passkeys configureren via Microsoft Authenticator of compatibele hardware-beveiligingssleutels.

De verandering is niet beperkt tot zakelijke klanten. Microsoft schaft sms-verificatie ook voor persoonlijke Microsoft-accounts af.