Microsoft waarschuwt Entra-klanten over de uitfasering van SMS Authentication in februari 2027

Microsoft Entra SMS- en spraakverificatie worden op 1 februari 2027 buiten gebruik gesteld, terwijl Microsoft klanten begint over te zetten naar passkeys en andere phishing-bestendige aanmeldingsmethoden.

Microsoft is begonnen met het e-mailen van de betrokken Entra ID-organisaties over de aanstaande wijziging, aldus Neowin. Het bedrijf had eerder al aangekondigd dat de SMS- en spraak-MFA van Entra ID zou worden uitgefaseerd, maar neemt nu rechtstreeks contact op met klanten nu de migratiedeadline nadert.

Microsoft start de overgang in september

Het migratieproces begint op 1 september 2026. Entra ID zal automatisch passkey-ondersteuning inschakelen voor gebruikers die momenteel afhankelijk zijn van SMS- of spraakverificatie.

Betrokken gebruikers krijgen ook aanmeldingsprompts te zien die hen aanmoedigen een passkey te registreren. Microsoft stuurt klanten steeds nadrukkelijker richting passkeys, omdat wachtwoord- en authenticatieaanvallen steeds geavanceerder worden.

Gebruikers die op 1 februari 2027 nog steeds geen passkey of een andere ondersteunde phishing-bestendige methode hebben ingesteld, krijgen bij het aanmelden te maken met een verplichte registratieblokkade. Zij moeten een geaccepteerde authenticatiemethode configureren voordat ze toegang tot hun accounts krijgen.

Microsoft zegt dat SMS-authenticatie veiligheidsrisico’s met zich meebrengt

Microsoft geeft aan dat aanvallers steeds vaker SMS-authenticatie kunnen compromitteren via methoden zoals SIM-swapping en Adversary-in-the-Middle-phishing.

Passkeys vermijden tijdelijke verificatiecodes en wachtwoorden die aanvallers kunnen onderscheppen of stelen.

Organisaties die om regelgevings- of nalevingsredenen telefoonverificatie moeten blijven gebruiken, krijgen een andere optie. Microsoft staat hen toe gebruik te maken van door de klant beheerde telecomproviders die beschikbaar zijn via de Microsoft Security Store.

De prijzen van providers worden op 18 september 2026 bekendgemaakt; organisaties kunnen vanaf 30 oktober beginnen met het configureren van ondersteunde providers.

Beheerders moeten nu betrokken gebruikers identificeren

IT-beheerders moeten hun Authentication Methods Policy controleren en accounts identificeren die nog afhankelijk zijn van SMS- of spraakverificatie, voordat de migratie in september begint.

Microsoft raadt aan deze gebruikers proactief naar passkeys over te zetten. Organisaties kunnen passkeys configureren via Microsoft Authenticator of compatibele hardwarebeveiligingssleutels.

De wijziging beperkt zich niet tot zakelijke klanten. Ook voor persoonlijke Microsoft-accounts schaft Microsoft SMS-authenticatie geleidelijk af.