Microsoft waarschuwt Entra-klanten over uitfasering van SMS-authenticatie in februari 2027

Microsoft Entra SMS- en spraakverificatie wordt op 1 februari 2027 uitgefaseerd, aangezien Microsoft klanten overzet op toegangssleutels en andere phishingbestendige aanmeldingsmethoden.

Microsoft is begonnen met het versturen van e-mails naar getroffen Entra ID-organisaties over de aanstaande wijziging, aldus Neowin. Het bedrijf had eerder aangekondigd dat Entra ID SMS- en spraak-MFA zou worden uitgefaseerd, maar neemt nu rechtstreeks contact op met klanten naarmate de migratiedeadline nadert.

Microsoft start de overgang in september

Het migratieproces begint op 1 september 2026. Entra ID schakelt automatisch ondersteuning voor toegangssleutels in voor gebruikers die momenteel afhankelijk zijn van SMS- of spraakverificatie.

Getroffen gebruikers zullen ook aanmeldingsprompts gaan zien waarin ze worden aangemoedigd een toegangssleutel te registreren. Microsoft dringt er steeds meer bij klanten op aan om toegangssleutels te gebruiken, omdat wachtwoord- en verificatieaanvallen geavanceerder worden.

Gebruikers die op 1 februari 2027 nog geen toegangssleutel of een andere ondersteunde phishingbestendige methode hebben geconfigureerd, krijgen te maken met een verplichte registratieblokkade tijdens het aanmelden. Ze moeten een geaccepteerde verificatiemethode configureren voordat ze toegang tot hun accounts kunnen krijgen.

Microsoft zegt dat SMS-verificatie beveiligingsrisico’s met zich meebrengt

Microsoft zegt dat aanvallers SMS-verificatie steeds vaker kunnen compromitteren via methoden als SIM-swapping en Adversary-in-the-Middle-phishing.

Toegangssleutels vermijden tijdelijke verificatiecodes en wachtwoorden die aanvallers kunnen onderscheppen of stelen.

Organisaties die om regelgevings- of complianceredenen telefoonverificatie moeten blijven gebruiken, krijgen een andere optie. Microsoft staat hen toe om door de klant beheerde telecomproviders te gebruiken die beschikbaar zijn via de Microsoft Security Store.

De prijzen van providers worden op 18 september 2026 beschikbaar, terwijl organisaties vanaf 30 oktober kunnen beginnen met het configureren van ondersteunde providers.

Beheerders moeten nu getroffen gebruikers identificeren

IT-beheerders moeten hun Beleid voor verificatiemethoden controleren en accounts identificeren die nog steeds afhankelijk zijn van SMS- of spraakverificatie voordat de migratie in september begint.

Microsoft raadt aan om deze gebruikers proactief over te zetten naar toegangssleutels. Organisaties kunnen toegangssleutels configureren via Microsoft Authenticator of compatibele hardwarebeveiligingssleutels.

De wijziging is niet beperkt tot zakelijke klanten. Microsoft faseert ook SMS-verificatie uit voor persoonlijke Microsoft-accounts.