Microsoft stänger 2-stegsverifiering via SMS och telefon – så undviker du att bli utelåst

Microsoft har meddelat att SMS och röstsamtal (voice) inte längre kommer att vara godkända autentiseringsmetoder i Microsoft Entra ID. Syftet är att skydda företag mot nätfiske, SIM-kapning och återuppspelningsattacker. Men för många organisationer väntar en obehaglig överraskning om man inte agerar i tid.

Viktiga datum att ha koll på

• 1 september 2026: Passkeys blir standardmetod. Användare som har SMS eller voice aktiverat blir automatiskt påminnda om att registrera en passkey vid nästa inloggning.
• 1 februari 2027: Microsofts egen SMS- och telefonleverans stängs helt. Endast användare med kundhanterad teleoperatör kan fortsätta använda SMS/voice – om det finns ett verkligt behov.
• Efter 1 februari 2027: Användare vars enda MFA-metod är SMS eller voice tvingas registrera en passkey för att kunna logga in. Det går inte att välja bort.

Risken är att era användare blir utelåsta

Den största faran är inte teknisk – den är praktisk. Många användare har idag SMS eller telefonsamtal som enda MFA-metod. När den metoden försvinner och inloggningsprompten blockerar användaren tills en passkey är registrerad, kan en vanlig måndagsmorgon plötsligt stoppa hela verksamheten.

Så förbereder du företaget

• Identifiera vilka användare som fortfarande använder SMS eller voice i Microsoft Entra admin center.
• Aktivera passkeys (FIDO2), Windows Hello for Business eller en annan nätfiskingsresistent metod i era autentiseringsprinciper.
• Informera användarna tidigt – berätta vad som händer, varför det händer och vilka steg de behöver ta.
• Kör en pilotgrupp och registreringskampanj innan september 2026 så ni fångar upp problem i lugn och ro.
• Om ni har reglerade behov av SMS eller voice, planera för en kundhanterad teleoperatör via Microsoft Security Store.

Vad är en passkey?

Passkeys ersätter lösenord och engångskoder med kryptografiska nycklar som är knutna till en enhet eller en synkad plattform. De är betydligt säkrare än SMS eftersom de inte går att snappa upp, kopiera eller lura till sig via bluffsms. Microsoft Authenticator, Windows Hello, Apples iCloud-nyckelring och Google Password Manager är exempel på ställen där en passkey kan leva.

Bytet är alltså i grunden positivt – men bara om ni är förberedda. Osäker på hur er Microsoft 365-miljö är konfigurerad idag? Vi hjälper er att gå igenom autentiseringsmetoderna, aktivera passkeys och rulla ut det till användarna utan driftstopp.

Läs Microsofts officiella vägledning om ändringen

Kontakta Protelo för hjälp med övergången