Entra ID stopt met sms-MFA: dit regel je voor 1 februari

Microsoft heeft Entra ID-beheerders deze week opnieuw aangespoord om gebruikers van sms- en spraakauthenticatie over te zetten naar phishingresistente methodes. BleepingComputer meldde op 28 oktober dat die oproep via een bericht in het Microsoft 365 Message Center kwam. De achterliggende deadline staat al vast: Microsoft levert vanaf 1 februari 2027 zelf geen sms'jes en telefoontjes meer af voor multifactorauthenticatie.

De tijdlijn volgens Microsoft

Op de documentatiepagina over de uitfasering zet Microsoft de data op een rij:

• 1 september 2026 — passkeys werden de standaard inlogervaring. Gebruikers die in de Authentication Methods Policy of in de oude MFA-instellingen voor sms of spraak aanstonden, zijn automatisch voor passkeys aangezet en krijgen bij de volgende MFA-login een registratieprompt. Die prompt is standaard onbeperkt uit te stellen.
• 1 februari 2027 — Microsoft-geleverde sms en spraak verdwijnen voor alle gebruikers, behalve Global Administrators en externe gebruikers. Let op: interne gastgebruikers vallen wél onder deze datum.
• 1 juli 2027 — hetzelfde geldt dan ook voor Global Administrators en externe gebruikers.

Als reden noemt Microsoft dat sms en spraak kwetsbaar zijn voor phishing en simswap-aanvallen, en dat de methodes niet langer als veilig worden gepositioneerd.

Wat er gebeurt als je niets doet

Dat is het deel dat in de planning telt. Na 1 februari 2027 wordt een gebruiker die alleen nog sms of spraak als MFA-methode heeft, bij het inloggen gedwongen een passkey te registreren. Microsoft noemt die prompt expliciet blocking: zonder registratie komt de gebruiker niet verder. Er is geen opt-out voor de groep die onder de februari-datum valt.

Wie al met passkeys, Windows Hello for Business of een andere phishingresistente methode inlogt, merkt er niets van.

De uitweg: je eigen telecomprovider

Wil je sms of spraak houden, dan moet je het zelf gaan inkopen. Vanaf 30 oktober 2026 kunnen klanten via de Microsoft Security Store een telecomprovider selecteren en configureren. Tijdens de private preview zijn dat Soprano en Telesign; Microsoft zegt dat er bij algemene beschikbaarheid meer providers bijkomen. Microsoft positioneert die route expliciet als uitzondering, voor gereguleerde sectoren of situaties waarin geen andere methode werkbaar is, en adviseert passkeys voor alle overige gebruikersgroepen.

Wat je nu kunt doen

• Inventariseer eerst. Microsoft publiceert een PowerShell-script, de Entra SMS/Voice Usage Analyzer, om op te zoeken welke gebruikers nog voor sms of spraak aanstaan. Je hebt daarvoor de rol Global Reader, Authentication Policy Administrator of Security Reader nodig.
• Zet die gebruikers in een securitygroep en gebruik die groep als doelgroep voor de rest van de uitrol.
• Richt een registration campaign in via Entra ID > Authentication methods > Registration campaign, met State op Microsoft Managed en de securitygroep als doel. Microsoft noemt dit de effectiefste manier om gebruikers op schaal van sms af te halen zonder de helpdesk te overspoelen.
• Controleer je gastaccounts. Interne gasten volgen de februari-datum, niet die van juli.
• Heb je een aantoonbare reden voor een telefoniekanaal, documenteer die en bekijk de providers in de Security Store voor dat specifieke segment.

De praktische kant van het inrichten zelf staat in ons eerdere artikel Passkeys inrichten in Microsoft Entra ID, stap voor stap.