Microsoft fixe au 1er février 2027 la fin de l'authentification par SMS et voix pour Entra ID

Microsoft fixe au 1er février 2027 la date butoir

L'avis, référencé MC1528000, indique que Microsoft cessera l'authentification par SMS et par voix qu'il fournit à partir du 1er février 2027. BleepingComputer en a parlé le 28 octobre et WindowsReport le 29 octobre.

Pour les administrateurs, la date est ferme et aucune migration automatique n'est prévue. Soit ils déplacent eux-mêmes les utilisateurs, soit ils passent par un opérateur tiers. Microsoft n'a pas précisé ce qu'entraîne une échéance manquée, au-delà des perturbations de connexion pour les utilisateurs encore sur SMS ou voix. Le changement ne concerne que les locataires professionnels d'Entra ID. Azure AD B2C et Entra External ID, ses produits d'identité client, ne sont pas touchés. Microsoft juge les codes SMS et vocaux vulnérables au hameçonnage et au SIM swapping, où un attaquant transfère un numéro de téléphone pour recevoir les codes destinés à son propriétaire.

Il reste donc aux administrateurs une bascule sèche et une courte liste de méthodes approuvées.

Ce que les administrateurs doivent faire

Les admins doivent migrer les utilisateurs vers des méthodes résistantes au hameçonnage : clés d'accès, authentification par QR code et clés de sécurité FIDO2. Les organisations qui ont encore besoin d'une connexion par téléphone n'ont qu'une solution. Elles doivent raccorder un opérateur externe via le Microsoft Security Store, un montage que Microsoft appelle fournisseur de télécom géré par le client. Microsoft oriente les administrateurs vers un script d'analyse. Le script PowerShell Entra SMS/Voice Policy Scanner identifie les utilisateurs et configurations concernés. Les utilisateurs qui ont encore le SMS ou la voix activés deviennent éligibles aux clés d'accès. Ils reçoivent une invite d'enregistrement lors de leur prochaine tentative d'authentification multifacteur, selon la description de l'avis par WindowsReport.

Les clés d'accès sont déjà la méthode par défaut, et la plupart sont synchronisées

Microsoft bascule la méthode d'authentification par défaut des locataires professionnels d'Entra ID vers les clés d'accès depuis septembre 2026, selon les deux articles. Le plan avait été annoncé en juillet. En août 2026, Microsoft a aussi suspendu une fonctionnalité qui permettait aux clients gratuits d'Entra ID d'utiliser le SMS comme méthode de connexion principale. Les clés d'accès enregistrées par ces utilisateurs sont surtout synchronisées. Hana Kim, chef de produit senior chez Microsoft, a déclaré à Authenticate 2026 que 75 % des clés d'accès enregistrées dans Entra le mois précédent étaient synchronisées. Les clés synchronisées ont progressé de 330 % d'un mois sur l'autre, a-t-elle ajouté.

Les clés synchronisées échangent l'ancrage matériel contre la possibilité de récupération. Arie Olshtein, de Palo Alto Networks, a qualifié ce compromis de délibéré à Authenticate 2026 : aucun secret partagé à hameçonner, mais une surface plus large autour de la clé.

Le chemin de récupération est le maillon faible

Cette surface comprend le compte cloud, le service de synchronisation et le terminal qui l'ouvre. L'attaque présentée par Olshtein ne touche pas la clé d'accès elle-même. La campagne UNC6671 hameçonne la récupération d'iCloud Keychain, relaie un vrai code de vérification Apple puis demande le code de l'iPhone. L'appareil de l'attaquant rejoint ensuite le trousseau et reçoit toutes les clés synchronisées. L'écart apparaît dans les niveaux d'assurance. Les clés synchronisées relèvent du NIST AAL2 et les clés liées à l'appareil du AAL3, tandis que la plupart des chemins de récupération par code SMS, lien courriel ou appel au support tournent autour du AAL1. SecurityWeek avançait un point proche le 30 octobre : les clés d'accès renforcent l'authentification, mais elles ne disent rien de la légitimité de la création initiale du compte.

Ce qui suit

Le retrait commence le 1er février 2027. Microsoft prévient que les organisations qui ne se préparent pas risquent des perturbations de connexion pour leurs utilisateurs.

Les comptes Microsoft personnels, dont Outlook.com, OneDrive et Microsoft 365 grand public, suivent un parcours distinct dans les paramètres de sécurité du compte. La consigne de Microsoft y est simple. Créer une clé d'accès de remplacement avant de supprimer l'ancienne.