Microsoft waarschuwt Entra-klanten over de uitfasering van SMS-authenticatie in februari 2027

Microsoft Entra SMS- en spraakverificatie wordt op 1 februari 2027 buiten gebruik gesteld, terwijl Microsoft klanten begint over te zetten naar passkeys en andere phishingbestendige aanmeldingsmethoden.

Microsoft is begonnen met het e-mailen van getroffen Entra ID-organisaties over de aanstaande wijziging, aldus Neowin. Het bedrijf had eerder al aangekondigd dat Entra ID SMS- en spraak-MFA zou worden uitgefaseerd, maar neemt nu rechtstreeks contact op met klanten nu de migratiedeadline nadert.

Microsoft start de overgang in september

Het migratieproces begint op 1 september 2026. Entra ID schakelt automatisch ondersteuning voor passkeys in voor gebruikers die momenteel afhankelijk zijn van SMS- of spraakverificatie.

Getroffen gebruikers krijgen ook aanmeldingsprompts te zien waarin ze worden aangemoedigd een passkey te registreren. Microsoft dringt er steeds meer bij klanten op aan over te stappen op passkeys, nu aanvallen op wachtwoorden en verificatie steeds geavanceerder worden.

Gebruikers die op 1 februari 2027 nog geen passkey of een andere ondersteunde phishingbestendige methode hebben geconfigureerd, worden tijdens het aanmelden geconfronteerd met een verplichte registratieblokkering. Ze moeten een geaccepteerde verificatiemethode configureren voordat ze toegang tot hun accounts krijgen.

Microsoft zegt dat sms-verificatie veiligheidsrisico’s met zich meebrengt

Microsoft zegt dat aanvallers sms-verificatie steeds vaker kunnen compromitteren via methoden als SIM-swapping en Adversary-in-the-Middle-phishing.

Passkeys vermijden tijdelijke verificatiecodes en wachtwoorden die aanvallers kunnen onderscheppen of stelen.

Organisaties die om wettelijke of nalevingsredenen telefoonverificatie moeten blijven gebruiken, krijgen een andere optie. Microsoft staat toe dat zij door de klant beheerde telecomproviders gebruiken die beschikbaar zijn via de Microsoft Security Store.

De prijzen van providers worden beschikbaar op 18 september 2026, terwijl organisaties vanaf 30 oktober ondersteunde providers kunnen gaan configureren.

Beheerders moeten nu getroffen gebruikers identificeren

IT-beheerders moeten hun Beleid voor verificatiemethoden controleren en accounts identificeren die nog afhankelijk zijn van SMS- of spraakverificatie voordat de migratie in september begint.

Microsoft raadt aan deze gebruikers proactief over te zetten naar passkeys. Organisaties kunnen passkeys configureren via Microsoft Authenticator of compatibele hardwarebeveiligingssleutels.

De wijziging is niet beperkt tot zakelijke klanten. Microsoft schaft sms-verificatie ook af voor persoonlijke Microsoft-accounts.