Microsoft heeft opnieuw aan beheerders van Entra ID gevraagd om gebruikers over te zetten naar methoden die bestand zijn tegen phishing. Dit om inlogproblemen te voorkomen voordat in februari 2027 de SMS- en spraakauthenticatie wordt stopgezet.

Deze verandering geldt uitsluitend voor authenticatiescenario’s van Microsoft Entra ID binnen het personeelsbestand en niet voor Azure AD B2C of Microsoft Entra External ID-klantidentiteiten.

Voor de uitfasering van SMS en spraak moeten beheerders ervoor zorgen dat alle gebruikers binnen hun organisatie een phishingbestendige methode gebruiken, aangezien ze deze manieren straks niet meer kunnen inzetten voor multifactor authenticatie en inloggen.

Beheerders kunnen kiezen uit onder andere toegangssleutels, QR-code authenticatie, FIDO2-beveiligingssleutels en andere door Entra ID ondersteunde inlogmethoden.

“De door Microsoft geleverde SMS en spraakauthenticatie zal vanaf 1 februari 2027 worden uitgefaseerd. Rond uw migratie af voor de uitrol begint om verstoringen in de inlogervaring van gebruikers te voorkomen,” aldus Microsoft in een update van het Microsoft 365 Message Center op dinsdag.

“SMS en spraak zijn kwetsbaar voor phishing en SIM-swap aanvallen. Microsoft raadt toegangssleutels aan voor sterkere, phishingbestendige bescherming. U kunt ook migreren naar een andere ondersteunde authenticatiemethode of SMS en spraak behouden door een telecomprovider naar keuze (CYOT) te configureren via de Microsoft Security Store.”

Zoals Microsoft al eerder in een herinnering in september aangaf, kunnen beheerders met de rollen Authentication Policy Administrator, Global Reader of Security Reader gebruikers met SMS- of spraakauthenticatie vinden met het Entra SMS/Voice Policy Scanner PowerShell-script.

Organisaties die telefoon-gebaseerde authenticatie moeten gebruiken, moeten externe telecomproviders configureren via de Microsoft Security Store.

Toegangssleutels nu de standaardmethode voor Entra ID

In juli kondigde Microsoft aan dat toegangssleutels vanaf september de standaard authenticatie-ervaring worden voor de Entra ID-diensten voor ondernemingen.

“Naarmate de uitrol elk bedrijf bereikt, zullen gebruikers die SMS- of spraakauthenticatie gebruiken automatisch toegang krijgen tot toegangssleutels. De volgende keer dat ze multifactor authenticatie uitvoeren, krijgen ze de vraag om een toegangssleutel te registreren,” aldus Microsoft.

“Na deze overgang zullen op 1 februari 2027 de door Microsoft geleverde telecomdiensten voor SMS en spraakauthenticatie worden stopgezet en biedt Microsoft deze niet langer als een ingebouwde functie van Entra aan.”

In augustus stopte Microsoft ook met de SMS-eerst-factor inlogmogelijkheid voor gratis Entra ID-accounts vanwege de risico’s op phishing en fraude, en werd dit niet meer ingeschakeld voor nieuw aangemaakte accounts.

Een gedetailleerde handleiding voor het implementeren en beheren van phishingbestendige wachtwoordloze authenticatie in Entra ID staat op de speciale documentatiepagina van Microsoft.