Microsoft waarschuwt Entra ID-beheerders om gebruikers vóór februari 2027 over te zetten op phishingbestendige passkeys, vanwege het stoppen met SMS- en spraakauthenticatie.
Microsoft roept beheerders van Entra ID opnieuw op om gebruikers te migreren naar phishingbestendige authenticatiemethoden om onderbrekingen bij het inloggen te voorkomen. Dit is noodzakelijk omdat Microsoft vanaf februari 2027 stopt met het ondersteunen van SMS- en spraakauthenticatie voor multifactor-authenticatie binnen Microsoft Entra ID workforce tenants.
De uitfasering geldt uitsluitend voor workforce tenant authenticaties en niet voor Azure AD B2C of Microsoft Entra External ID scenario's. Beheerders moeten ervoor zorgen dat alle gebruikers binnen hun organisatie overstappen op een phishingbestendige methode, aangezien SMS en spraak niet langer gebruikt kunnen worden voor het afronden van multifactor-authenticatie en het inloggen op accounts. Beschikbare alternatieven zijn onder meer passkeys, QR-code authenticatie, FIDO2-beveiligingssleutels en andere door Entra ID ondersteunde inlogmethoden.
In een Microsoft 365 Message Center update benadrukt Microsoft dat de uitfasering van SMS- en spraakauthenticatie op 1 februari 2027 ingaat en adviseert beheerders de migratie tijdig te voltooien om verstoringen te voorkomen. SMS en spraak zijn kwetsbaar voor phishing en SIM-swapping, waardoor Microsoft passkeys aanbeveelt als sterkere, phishingbestendige oplossing. Organisaties die toch telefoongebaseerde authenticatie willen blijven gebruiken, kunnen een klantbeheerde telecomprovider configureren via de Microsoft Security Store.
Beheerders met rollen zoals Authentication Policy Administrator, Global Reader of Security Reader kunnen met behulp van het Entra SMS/Voice Policy Scanner PowerShell-script gebruikers identificeren die nog SMS- of spraakauthenticatie gebruiken. Voor organisaties die telefoongebaseerde authenticatie moeten blijven toepassen, is het noodzakelijk om een derdepartij telecomprovider via de Microsoft Security Store te configureren.
Microsoft kondigde in juli aan dat passkeys vanaf september als standaard authenticatiemethode voor Entra ID worden uitgerold. Gebruikers die nog SMS of spraakauthenticatie gebruiken, worden automatisch ingeschakeld voor passkeys en krijgen bij de volgende multifactor-authenticatie de mogelijkheid om een passkey te registreren. Na deze overgang stopt Microsoft op 1 februari 2027 met het aanbieden van SMS en spraak als native authenticatiemethode binnen Entra ID.
Daarnaast heeft Microsoft in augustus de SMS-first-factor authenticatie voor Microsoft Entra ID Free tenants beëindigd vanwege risico’s op phishing, fraude en accountcompromittering, en wordt deze niet meer geactiveerd voor nieuwe tenants. Uitgebreide richtlijnen voor het implementeren en beheren van phishingbestendige, wachtwoordloze authenticatie in Entra ID zijn beschikbaar op een speciale Microsoft documentatiepagina.
