Microsoft waarschuwt Entra-klanten voor de uitfasering van SMS Authentication in februari 2027

Microsoft Entra SMS- en spraakverificatie wordt op 1 februari 2027 uitgefaseerd, nu Microsoft klanten begint over te zetten naar passkeys en andere phishingbestendige aanmeldmethoden.

Microsoft is begonnen met het e-mailen van getroffen Entra ID-organisaties over de aanstaande wijziging, aldus Neowin. Het bedrijf had eerder aangekondigd dat Entra ID SMS- en spraak-MFA zou worden uitgefaseerd, maar neemt nu rechtstreeks contact op met klanten nu de migratiedeadline nadert.

Microsoft start de overgang in september

Het migratieproces begint op 1 september 2026. Entra ID schakelt automatisch passkey-ondersteuning in voor gebruikers die momenteel afhankelijk zijn van SMS- of spraakverificatie.

Getroffen gebruikers krijgen ook aanmeldprompts te zien die hen aanmoedigen een passkey te registreren. Microsoft dringt er steeds meer bij klanten op aan om over te stappen op passkeys, nu wachtwoord- en verificatieaanvallen geavanceerder worden.

Gebruikers die op 1 februari 2027 nog geen passkey of een andere ondersteunde phishingbestendige methode hebben geconfigureerd, krijgen te maken met een verplichte registratieblokkering tijdens het aanmelden. Zij moeten een geaccepteerde verificatiemethode configureren voordat ze toegang krijgen tot hun accounts.

Microsoft zegt dat SMS-verificatie veiligheidsrisico’s met zich meebrengt

Microsoft zegt dat aanvallers steeds vaker SMS-verificatie kunnen compromitteren via methoden zoals SIM-swapping en Adversary-in-the-Middle-phishing.

Passkeys vermijden tijdelijke verificatiecodes en wachtwoorden die aanvallers kunnen onderscheppen of stelen.

Organisaties die om regelgevings- of nalevingsredenen moeten blijven gebruikmaken van telefoonverificatie, krijgen een andere optie. Microsoft staat hen toe gebruik te maken van door de klant beheerde telecomproviders die beschikbaar zijn via de Microsoft Security Store.

Providerprijzen worden op 18 september 2026 beschikbaar, terwijl organisaties vanaf 30 oktober kunnen beginnen met het configureren van ondersteunde providers.

Beheerders moeten nu getroffen gebruikers identificeren

IT-beheerders moeten hun Authentication Methods Policy bekijken en accounts identificeren die nog steeds afhankelijk zijn van SMS- of spraakverificatie voordat de migratie in september begint.

Microsoft raadt aan om die gebruikers proactief over te zetten naar passkeys. Organisaties kunnen passkeys configureren via Microsoft Authenticator of compatibele hardwarebeveiligingssleutels.

De wijziging beperkt zich niet tot zakelijke klanten. Microsoft schaft ook de SMS-verificatie voor persoonlijke Microsoft-accounts af.