Microsoft varnar Entra-kunder om pensioneringen av SMS-autentisering i februari 2027

Microsoft Entras SMS- och röstautentisering tas ur bruk den 1 februari 2027, i takt med att Microsoft börjar flytta kunder till passkeys och andra nätfiskeresistenta inloggningsmetoder.

Microsoft har börjat skicka e-post till berörda Entra ID-organisationer om den förestående förändringen, enligt Neowin. Företaget hade tidigare meddelat att Entra ID SMS- och röst-MFA skulle tas ur bruk, men kontaktar nu kunder direkt i och med att migrationsfristen närmar sig.

Microsoft påbörjar övergången i september

Migreringsprocessen inleds den 1 september 2026. Entra ID aktiverar automatiskt stöd för passkeys för användare som för närvarande använder sig av SMS- eller röstautentisering.

Berörda användare kommer också att börja se inloggningsmeddelanden som uppmanar dem att registrera en passkey. Microsoft har i allt högre grad uppmanat kunder att använda passkeys i takt med att lösenords- och autentiseringsattacker blir mer sofistikerade.

Användare som fortfarande inte har konfigurerat en passkey eller en annan nätfiskeresistent metod senast den 1 februari 2027 möts av ett obligatoriskt registreringsblock under inloggningen. De måste konfigurera en godkänd autentiseringsmetod innan de kan komma åt sina konton.

Microsoft säger att SMS-autentisering medför säkerhetsrisker

Microsoft uppger att angripare i allt högre grad kan äventyra SMS-autentisering genom metoder som SIM-swapping och Adversary-in-the-Middle-nätfiske.

Passkeys undviker tillfälliga autentiseringskoder och lösenord som angripare kan fånga upp eller stjäla.

Organisationer som av regulatoriska eller efterlevnadsskäl måste fortsätta använda telefonautentisering har ett annat alternativ. Microsoft tillåter dem att använda kundhanterade telekomleverantörer som är tillgängliga via Microsoft Security Store.

Leverantörspriser blir tillgängliga den 18 september 2026, och organisationer kan börja konfigurera leverantörer med stöd från och med den 30 oktober.

Administratörer bör identifiera berörda användare nu

IT-administratörer bör granska sina principer för autentiseringsmetoder och identifiera konton som fortfarande är beroende av SMS- eller röstautentisering innan migrationen inleds i september.

Microsoft rekommenderar att man proaktivt flyttar dessa användare till passkeys. Organisationer kan konfigurera passkeys via Microsoft Authenticator eller kompatibla maskinvarusäkerhetsnycklar.

Förändringen begränsas inte till företagskunder. Microsoft fasar även ut SMS-autentisering för personliga Microsoft-konton.