Microsoft schrapt sms-MFA en verplicht passkeys voor Entra ID
Microsoft heeft beheerders van Microsoft Entra ID opgeroepen om gebruikers zo snel mogelijk te migreren naar 'passkeys' of andere phishing-resistente authenticatiemethoden. De techgigant stopt vanaf 1 februari 2027 definitief met de ondersteuning van sms- en telefonische spraakverificatie voor zakelijke Entra ID-omgevingen.
De maatregel is volgens Bleepingcomputer bedoeld om accounts beter te beschermen tegen toenemende cyberdreigingen zoals phishing en sim-swapping, waar telefoongebaseerde authenticatie kwetsbaar voor is. Na de deadline kunnen gebruikers geen gebruik meer maken van sms of spraakoproepen om meervoudige authenticatie (MFA) te voltooien.
Organisaties kunnen overstappen op veiliger alternatieven zoals passkeys, QR-code-authenticatie of FIDO2-beveiligingssleutels. Microsoft roept beheerders op de migratie tijdig af te ronden om aanmeldproblemen voor werknemers te voorkomen. Sinds september worden passkeys al stapsgewijs uitgerold als de standaardervaring binnen Entra ID.
Voor organisaties die verplicht gebruik moeten blijven maken van telefonische verificatie, biedt Microsoft de mogelijkheid om via de Microsoft Security Store een eigen externe telecomprovider (CYOT) te koppelen. De uitfasering geldt uitsluitend voor de zakelijke 'workforce'-omgevingen van Entra ID en niet voor Azure AD B2C of Microsoft Entra External ID. Beheerders kunnen via een PowerShell-script achterhalen welke accounts nog afhankelijk zijn van de verouderde methoden.
Meer over Security
Over Witold Kepinski
