Microsoft advarer Entra-kunder om utfasing av SMS-autentisering i februar 2027

Microsoft Entra SMS- og talebasert autentisering blir fjernet 1. februar 2027, samtidig som Microsoft begynner å flytte kunder over til passnøkler og andre phishing-resistente påloggingsmetoder.

Microsoft har begynt å sende e-post til berørte Entra ID-organisasjoner om den kommende endringen, ifølge Neowin. Selskapet kunngjorde tidligere at Entra ID SMS- og talegodkjenning med flerfaktorautentisering (MFA) ville bli fjernet, men tar nå direkte kontakt med kundene etter hvert som migreringsfristen nærmer seg.

Microsoft starter overgangen i september

Migreringsprosessen starter 1. september 2026. Entra ID aktiverer automatisk passnøkkelstøtte for brukere som i dag er avhengige av SMS- eller talegodkjenning.

Berørte brukere vil også begynne å se påloggingsmeldinger som oppfordrer dem til å registrere en passnøkkel. Microsoft har i økende grad presset kundene mot passnøkler etter hvert som passord- og autentiseringsangrep blir mer sofistikerte.

Brukere som fremdeles ikke har konfigurert en passnøkkel eller en annen støttet phishing-resistent metode innen 1. februar 2027, vil møte en obligatorisk registreringssperre under pålogging. De må konfigurere en akseptert autentiseringsmetode før de får tilgang til kontoene sine.

Microsoft sier SMS-godkjenning medfører sikkerhetsrisiko

Microsoft sier at angripere i stadig større grad kan kompromittere SMS-godkjenning gjennom metoder som SIM-bytte og Adversary-in-the-Middle-phishing.

Passnøkler unngår midlertidige autentiseringskoder og passord som angripere kan avskjære eller stjele.

Organisasjoner som må fortsette å bruke telefongodkjenning av regulatoriske eller samsvarsmessige årsaker, får et annet alternativ. Microsoft lar dem bruke kundestyrte telekomleverandører som er tilgjengelige via Microsoft Security Store.

Leverandørpriser blir tilgjengelige 18. september 2026, mens organisasjoner kan begynne å konfigurere støttede leverandører fra 30. oktober.

Administratorer bør identifisere berørte brukere nå

IT-administratorer bør gå gjennom Authentication Methods Policy og identifisere kontoer som fortsatt er avhengige av SMS- eller talegodkjenning før migreringen starter i september.

Microsoft anbefaler å flytte disse brukerne over til passnøkler proaktivt. Organisasjoner kan konfigurere passnøkler via Microsoft Authenticator eller kompatible maskinvaresikkerhetsnøkler.

Endringen er ikke begrenset til bedriftskunder. Microsoft faser også ut SMS-godkjenning for personlige Microsoft-kontoer.