Microsoft har sat en officiel slutdato på SMS- og telefonbaseret sikker login til Microsoft 365.
Fra 1. september 2026 bliver Adgangsnøgler (passkeys) standardmetoden til godkendelse i Microsoft Entra ID, og fra 1. februar 2027 lukker Microsoft helt for sin egen SMS- og telefonopkalds-godkendelse for organisationer, der ikke selv har konfigureret en alternativ løsning. For virksomheder, der i dag bruger SMS-koder som en del af deres login-sikkerhed, betyder det, at omstillingen skal planlægges nu – ikke når fristen nærmer sig.
Hvorfor SMS-koder ikke længere er nok
De fleste virksomheder har for længst indført multifaktorgodkendelse på deres Microsoft 365-konti. Det er godt. Men den mest udbredte metode – SMS-koder og telefonopkald – er ikke længere det sikre valg, den engang var.
En SMS-kode kan opsnappes. Den kan videresendes. Eller den kan lokkes fra en medarbejder via en falsk loginside, der ligner den ægte til forveksling. Og de falske sider er blevet svære at gennemskue: AI-drevne phishing-kampagner opnår ifølge Microsoft Threat Intelligence klikrater på op til 54%, mod cirka 12% for traditionelle phishing-forsøg.
Når over halvdelen af modtagerne klikker på et falsk link, er en SMS-kode reelt ikke et forsvar længere – den er en formalitet, en angriber let kommer forbi. Og konsekvensen er den samme, uanset om koden blev stjålet ved et uheld eller med vilje: et kompromitteret login kan give adgang til mails, dokumenter, kundedata og interne systemer, uden at nogen opdager det, før skaden er sket.
Hvad Microsoft konkret ændrer, og hvornår
Fra 1. september 2026 bliver Adgangsnøgler standard i Microsoft Entra ID. Alle brugere, der i dag logger ind med SMS eller telefonopkald, bliver automatisk guidet gennem oprettelsen af en Adgangsnøgle, næste gang de logger ind og gennemfører multifaktorgodkendelse. Har en bruger kun SMS eller telefonopkald som godkendelsesmetode, skal vedkommende oprette en Adgangsnøgle under login, før adgangen til kontoen fortsætter.
Fra 1. februar 2027 stopper Microsoft helt med at levere SMS- og telefonopkalds-godkendelse til organisationer, der ikke selv har sat en alternativ telecom-udbyder op. Det er altså ikke et spørgsmål om, hvorvidt jeres organisation skal omstille sig – men hvornår. Og om det sker på jeres egne betingelser, eller under tidspres, når Microsoft lukker for den gamle metode.
Den gode nyhed for jeres budget: der er ingen ekstra omkostning forbundet med at flytte medarbejdere fra SMS eller telefonopkald over til Adgangsnøgler. Det er en sikkerhedsopgradering uden behov for ny licens eller ny software.
Hvad en Adgangsnøgle betyder i praksis
En Adgangsnøgle erstatter koden, en medarbejder normalt modtager via SMS eller telefonopkald. I stedet bruges den sikkerhed, der allerede sidder på enheden – fingeraftryk, ansigtsgenkendelse eller enhedens PIN-kode. Login sker hurtigere, og fordi der ikke længere findes en kode, en medarbejder kan blive narret til at indtaste på en falsk side, fjernes selve angrebsvinklen, phishing-kampagner er bygget til at udnytte.
Der er én praktisk detalje, virksomheder ofte overser: en Adgangsnøgle er knyttet til den enkelte enhed. En medarbejder, der bruger både en arbejdscomputer og en mobiltelefon, skal derfor oprette en Adgangsnøgle på begge enheder for at få en problemfri loginoplevelse. Får medarbejderen senere en ny computer eller telefon, skal der oprettes en ny Adgangsnøgle på den nye enhed.
Hvad det betyder for jeres forretning
For en direktion er spørgsmålet ikke, om medarbejderne kan lære at bruge en Adgangsnøgle – det kan de, og oprettelsen tager under et minut. Spørgsmålet er, om jeres organisation har en plan for overgangen, inden Microsoft tvinger den igennem. Virksomheder, der venter til februar 2027, risikerer at stå med medarbejdere, der pludselig er låst ude af deres konti midt i en arbejdsdag, samtidig med at supportafdelingen oversvømmes af henvendelser.
Det er også en beslutning med direkte forbindelse til jeres samlede sikkerhedsniveau. Kompromitterede login-oplysninger er en af de mest almindelige indgangsvinkler til et databrud, og en overgang til phishing-resistent godkendelse reducerer den risiko markant – uden at kræve investeringer i nye systemer eller platforme.
Hvad I skal gøre nu
Den mest sikre vej er at gennemføre overgangen proaktivt, frem for at lade den ske automatisk, når Microsoft ruller den ud. Konkret handler det om tre ting: kortlæg, hvilke medarbejdere der i dag bruger SMS eller telefonopkald som godkendelsesmetode, planlæg en periode, hvor medarbejderne guides gennem oprettelsen på egen hånd i eget tempo, og sørg for, at medarbejdere med flere enheder får registreret en Adgangsnøgle på hver enkelt.
Gennemført i god tid undgår I både den utilsigtede overraskelse for medarbejderne og den administrative belastning, en sen omstilling typisk medfører.
Hos MainBrain gennemfører vi ændringen for vores kunder proaktivt – men vi hjælper gerne andre virksomheder med at planlægge og gennemføre overgangen til Adgangsnøgler, så den sker kontrolleret og uden driftsforstyrrelser.
Kontakt os, hvis I vil have en vurdering af, hvor langt jeres organisation er fra at være klar til overflytningen.
Book en gratis gennemgang her