Microsoft advarer Entra-kunder om utfasing av SMS-autentisering i februar 2027

Microsoft Entra SMS- og taleautentisering pensjoneres 1. februar 2027, i det Microsoft begynner å flytte kundene over til passnøkler og andre phishing-resistente påloggingsmetoder.

Microsoft har begynt å sende e-post til berørte Entra ID-organisasjoner om den kommende endringen, melder Neowin. Selskapet hadde tidligere kunngjort at Entra ID SMS- og tale-MFA skulle fases ut, men kontakter nå kundene direkte i det migreringsfristen nærmer seg.

Microsoft starter overgangen i september

Migreringsprosessen begynner 1. september 2026. Entra ID aktiverer da automatisk passnøkkelstøtte for brukere som i dag er avhengige av SMS- eller taleautentisering.

Berørte brukere vil også begynne å se påloggingsmeldinger som oppfordrer dem til å registrere en passnøkkel. Microsoft har stadig oftere presset kundene i retning av passnøkler etter hvert som passord- og autentiseringsangrep blir mer sofistikerte.

Brukere som fortsatt ikke har satt opp en passnøkkel eller en annen støttet phishing-resistent metode innen 1. februar 2027, vil møte en obligatorisk registreringsblokkering under pålogging. De må konfigurere en godkjent autentiseringsmetode før de får tilgang til kontoene sine.

Microsoft sier at SMS-autentisering medfører sikkerhetsrisiko

Microsoft påpeker at angripere i økende grad kan kompromittere SMS-autentisering gjennom metoder som SIM-bytte og Adversary-in-the-Middle-phishing.

Passnøkler unngår midlertidige autentiseringskoder og passord som angripere kan avskjære eller stjele.

Organisasjoner som må fortsette å bruke telefonautentisering av regulatoriske eller samsvarsmessige årsaker, får et annet alternativ. Microsoft lar dem da bruke kundestyrte telekomleverandører som er tilgjengelige via Microsoft Security Store.

Leverandørpriser blir tilgjengelige 18. september 2026, mens organisasjoner kan begynne å konfigurere støttede leverandører fra 30. oktober.

Administratorer bør identifisere berørte brukere allerede nå

IT-administratorer bør gjennomgå policyen for godkjenningsmetoder (Authentication Methods Policy) og identifisere kontoer som fortsatt er avhengige av SMS- eller taleautentisering før september-migreringen starter.

Microsoft anbefaler å flytte disse brukerne over til passnøkler proaktivt. Organisasjoner kan konfigurere passnøkler via Microsoft Authenticator eller kompatible maskinvare-sikkerhetsnøkler.

Endringen er ikke begrenset til bedriftskunder. Microsoft faser også ut SMS-autentisering for personlige Microsoft-kontoer.