Microsoft trekt de stekker uit sms en spraakverificatie

Veel organisaties gebruiken sms-berichten of telefonische oproepen nog steeds als methode voor multifactorauthenticatie (MFA). Microsoft zet echter een duidelijke stap richting modernere en veiligere verificatiemethoden. Voor organisaties die nog afhankelijk zijn van sms of voice betekent dit dat het tijd is om de huidige inrichting onder de loep te nemen en plannen te maken voor een alternatief.

Authenticatie verandert sneller dan veel organisaties denken
Cyberaanvallen worden steeds slimmer. Waar een wachtwoord alleen al jarenlang onvoldoende bescherming bood, blijken ook bepaalde vormen van MFA kwetsbaarder dan eerder werd gedacht.

Daarom verschuift Microsoft de afgelopen jaren steeds nadrukkelijker naar sterkere en phishing-bestendige vormen van authenticatie. In dat kader wordt het gebruik van sms- en spraakverificatie verder afgebouwd ten gunste van modernere alternatieven zoals Microsoft Authenticator en passkeys.

Voor organisaties die deze methoden nog actief gebruiken, is dit meer dan een technische wijziging. Het raakt gebruikers, processen en de manier waarop toegang tot bedrijfsgegevens wordt beveiligd.

Waarom sms en spraak niet langer de voorkeur hebben
Sms en telefonische oproepen waren jarenlang een eenvoudige manier om een extra beveiliging laag toe te voegen. De gebruiker ontvangt een code via sms of krijgt een automatische oproep om de aanmelding te bevestigen.

Het probleem is dat deze methoden niet zijn ontworpen voor het huidige dreigingslandschap. Cybercriminelen hebben verschillende manieren ontwikkeld om gebruikers te misleiden of toegang te krijgen tot verificatiecodes. Denk aan phishingaanvallen, social engineering en zogenoemde SIM-swapping, waarbij een telefoonnummer wordt overgenomen.

Microsoft ziet daarom sterkere alternatieven als een noodzakelijke vervolgstap in de verdere beveiliging van identiteiten en bedrijfsdata.

Wat betekent dit voor jouw organisatie?
Voor organisaties die al gebruikmaken van Microsoft Authenticator of andere moderne MFA-methoden verandert er mogelijk weinig.

Organisaties die nog vertrouwen op sms of spraakverificatie als primaire verificatiemethode moeten daarentegen wel actie ondernemen. Zeker wanneer grote groepen gebruikers hiervan afhankelijk zijn, kan een overstap meer voorbereiding vragen dan op het eerste gezicht lijkt.

Het gaat daarbij niet alleen om techniek. Medewerkers moeten weten wat er verandert, beheerders moeten het beleid aanpassen en gebruikers moeten worden begeleid naar een nieuwe manier van inloggen.

Wie te lang wacht, loopt het risico dat gebruikers op een later moment snel moeten worden omgezet, met onnodige verstoringen of extra druk op de servicedesk als gevolg.

Welke alternatieven zijn er beschikbaar?
Microsoft stimuleert organisaties om gebruik te maken van veiligere verificatiemethoden binnen Microsoft Entra ID.

De meest voor de hand liggende opties zijn:

• Microsoft Authenticator met pushmeldingen en number matching
• Passkeys
• FIDO2-beveiligingssleutels
• Windows Hello for Business

Voor veel organisaties zal Microsoft Authenticator de eerste logische stap zijn. De oplossing is gebruiksvriendelijk, breed ondersteund en biedt aanzienlijk betere bescherming dan sms-verificatie.

Passkeys winnen ondertussen snel aan terrein. Deze technologie maakt het mogelijk om zonder wachtwoord in te loggen en biedt sterke bescherming tegen phishing. Hoewel passkeys waarschijnlijk niet direct voor iedere organisatie de eerste stap zijn, is het duidelijk dat Microsoft deze richting actief ondersteunt.

Dat maakt passkeys een onderwerp waar veel organisaties zich de komende jaren verder in zullen verdiepen.

Verdieping: meer dan een technische wijziging
Het uitfaseren van sms- en voice-authenticatie is uiteindelijk onderdeel van een bredere ontwikkeling binnen cybersecurity.

Identiteiten zijn uitgegroeid tot één van de belangrijkste aanvalsvectoren voor cybercriminelen. Wie toegang krijgt tot een gebruikersaccount, krijgt vaak ook toegang tot e-mails, bedrijfsdocumenten, applicaties en gevoelige informatie.

Daarom verschuift de aandacht steeds meer van traditionele accountbeveiliging naar phishingbestendige authenticatie. De vraag is daarbij niet langer of organisaties sterkere verificatiemethoden moeten inzetten, maar wanneer.

Voor zakelijke beslissers is dit een belangrijk moment om te beoordelen of de huidige authenticatiestrategie nog aansluit bij de beveiligingsdoelstellingen van de organisatie.

Dit levert het je organisatie op
Een overstap naar modernere verificatiemethoden draait niet alleen om beveiliging.

Organisaties profiteren vaak ook van een betere gebruikerservaring, minder risico op accountmisbruik en een toekomstbestendige inrichting van hun Microsoft-omgeving. Daarnaast sluit een modern authenticatiebeleid beter aan op compliance-eisen en de groeiende aandacht voor digitale weerbaarheid.

Door nu te investeren in een alternatief voor sms- en voice-verificatie, voorkom je dat een noodzakelijke verandering later onder tijdsdruk moet worden uitgevoerd.

Wacht niet tot de wijziging je verrast
Gebruikt jouw organisatie nog sms- of spraakverificatie binnen Microsoft 365 of Microsoft Entra ID? Dan is dit het moment om in kaart te brengen welke gebruikers en processen hiervan afhankelijk zijn en welke alternatieven het beste passen bij jouw situatie.

CASE helpt organisaties bij het inventariseren van hun huidige MFA-inrichting, het implementeren van Microsoft Authenticator en het maken van de volgende stap richting moderne en toekomstbestendige authenticatie. Wil je weten welke impact deze wijziging heeft op jouw omgeving? Neem dan contact op met onze specialisten voor een vrijblijvend adviesgesprek.