Waarom sms-MFA niet langer veilig is voor Microsoft 365

By Mirko Peters · 2026-10-26

Ontdek waarom multi-factor-authenticatie via sms-berichten Microsoft 365-tenants kwetsbaar maakt voor SIM-swapping en phishing, en wat je in plaats daarvan beter kunt gebruiken.

Automatically translated with AI from the original post. Read the English original

Multi-factor-authenticatie via sms-berichten is al lang de standaard tweede stap voor zowel IT-beheerders als eindgebruikers. Maar doordat deze methode afhankelijk is van het verouderde telecomnetwerk, is ze gevaarlijk kwetsbaar voor moderne cyberaanvallen zoals SIM-swapping en gerichte phishing.

Belangrijkste punten

• Multi-factor-authenticatie via sms is afhankelijk van het openbare telefoonnetwerk, waardoor de codes kunnen worden onderschept of via SIM-swapping overgenomen.
• Onderzoek van Google en Verizon laat zien dat sms-codes veel vaker falen tegen gerichte phishingaanvallen dan moderne pushmeldingen of passkeys.
• De datalekrapporten van Verizon raden het gebruik van sms-codes voor aanmelding actief af.
• Stoppen met sms vraagt om planning van dubbele verificatiemethoden, om overbelasting van de helpdesk en permanente accountblokkades te voorkomen.

De schijn van veiligheid met sms-codes

Wanneer organisaties multi-factor-authenticatie voor het eerst invoeren, voelen sms-berichten vaak als een goede keuze. Ze worden overal ondersteund, vereisen geen softwareinstallatie en werken op vrijwel elk mobiel apparaat. Vanuit het oogpunt van beveiligingsarchitectuur schendt sms echter een fundamentele regel van robuuste identiteitsverificatie: het leveringsmechanisme is fundamenteel gebrekkig.

Een sms-bericht reist via het standaard telecomnetwerk naar je mobiele telefoon. Omdat die infrastructuur tientallen jaren geleden is ontworpen met weinig aandacht voor beveiliging, kan het worden onderschept, omgeleid of gemanipuleerd. Criminelen maken hier routinematig misbruik van met een techniek die bekendstaat als SIM-swapping. Door medewerkers van de klantenservice van mobiele providers sociaal te manipuleren, kunnen aanvallers je telefoonnummer overzetten naar een simkaart in hun eigen smartphone. Zodra die overzetting is voltooid, komt elke authenticatiecode voor je account rechtstreeks bij de aanvaller terecht.

Wat het onderzoek zegt over sms-MFA

Beveiligingsonderzoek laat een zorgwekkend beeld zien over de effectiviteit van sms-verificatie. Tekstcodes bieden voldoende bescherming tegen geautomatiseerde, weinig geavanceerde aanvallen met gelekte inloggegevens, maar hun effectiviteit keldert zodra echte menselijke tegenstanders een rol spelen.

Baanbrekend beveiligingsonderzoek van Google toonde aan dat sms-codes ongeveer zesennegentig procent van de massale phishingpogingen blokkeerden, maar dat hun effectiviteit aanzienlijk afnam bij gerichte campagnes. Wanneer een aanvaller zich richt op één specifieke persoon of organisatie, bieden tekstcodes geen betrouwbare bescherming. Daarom raden belangrijke cybersecuritykaders en jaarlijkse datalekonderzoeken, waaronder rapporten van Verizon, inmiddels actief aan om tekstberichten en spraakoproepen voor aanmelding volledig uit te faseren.

Aanvallen van het type adversary-in-the-middle

De kernbeperking van elke getypte code is dat die kan worden omgeleid. Bij een adversary-in-the-middle-aanval zet een kwaadwillende partij een geraffineerde, pixelperfecte kopie van een Microsoft 365-inlogpagina neer. Als je je wachtwoord en je sms-code in dit nep-portaal typt, stuurt de proxy je gegevens meteen door naar de echte dienst. Het systeem verleent toegang en de aanvaller vangt een actief sessietoken op. Zo omzeilt hij je verdediging volledig, ook al heb je een geldige code ingevoerd.

Van sms naar moderne alternatieven

Stappen wegdoen van tekstberichten vraagt om inzicht in de volgorde van beschikbare tweede factoren. Om je Microsoft 365-omgeving echt te beschermen, moeten organisaties gebruikers overzetten naar methoden die herbruikbare geheimen en afhankelijkheid van de telecomprovider elimineren.

Verificatie-apps en nummerovereenstemming

Verificatie-apps zijn een enorme stap vooruit ten opzichte van sms. Doordat ze op het apparaat zelf roterende, tijdgebaseerde eenmalige wachtwoorden genereren, omzeilen ze het telefoonnetwerk volledig. Bovendien neutraliseren functies zoals nummerovereenstemming in zakelijke oplossingen zoals de Microsoft Authenticator-app prompt bombing-aanvallen. Gebruikers moeten naar het inlogscherm kijken, een willekeurig nummer lezen en dat in hun mobiele app intypen. Zo weten ze zeker dat ze een inlogpoging goedkeuren die ze zelf hebben gestart.

Phishing-resistente passkeys en beveiligingssleutels

De gouden standaard voor moderne authenticatie zijn phishing-resistente hardwaresleutels of platformpasskeys. Deze mechanismen werken met publieke-sleutelcryptografie. Je apparaat bewaart een privé cryptografische sleutel die de hardware nooit verlaat. Wanneer je je aanmeldt, stuurt de site een cryptografische uitdaging die je apparaat ondertekent. Een nep-phishingsite kan deze handtekening niet vervalsen, waardoor adversary-in-the-middle-aanvallen volledig kansloos zijn. De eigen cijfers van Microsoft laten zien dat passkey-aanmeldingen aanzienlijk sneller zijn dan een wachtwoord plus een standaard MFA-prompt. Sterkere beveiliging hoeft dus niet ten koste te gaan van de gebruikerservaring.

De overgang binnen je organisatie begeleiden

Een beleid dat sms-authenticatie verbiedt, kan voor verzet zorgen als je het niet zorgvuldig aanpakt. IT-beheerders moeten de uitrol strategisch plannen. Begin met accounts met een hoog risico, zoals wereldwijde beheerders, medewerkers van financiën en gebruikers met toegang tot kritieke infrastructuurportalen. Geef gebruikers minstens twee geldige verificatiemethoden en duidelijke, geteste herstelroutes. Zo voorkom je dat legitieme gebruikers buiten hun account komen te staan wanneer een telefoon verloren gaat of wordt vervangen.

Conclusie en volgende stappen

Elke vorm van multifactorauthenticatie is zonder twijfel beter dan vertrouwen op een los wachtwoord. Toch laat het vasthouden aan sms-codes moderne cloudomgevingen bloot staan aan risico’s die je had kunnen voorkomen. Overstappen op verificatie-apps met nummerovereenstemming of volledig phishing-resistente passkeys maakt van je beveiliging geen wankele drempel meer, maar een veerkrachtige verdediging.

Wil je dieper ingaan op de werking van identiteitsbescherming, cloudbeveiligingsconfiguraties en moderne authenticatiestrategieën? Bekijk dan zeker de bijbehorende discussie in onze podcast. Luister de volledige aflevering en praat met ons mee terwijl we uitleggen wat je nodig hebt om je Microsoft 365- en Azure-omgevingen te beveiligen.

Veelgestelde vragen

Waarom wordt sms gezien als een zwakke methode voor multifactorauthenticatie?

Sms-codes reizen via het telecomnetwerk in plaats van via een versleuteld app-kanaal. Daardoor zijn ze kwetsbaar voor SIM-swapaanvallen, waarbij criminelen telecomproviders misleiden om je telefoonnummer over te zetten naar een apparaat dat zij beheren.

Kunnen beheerders in Microsoft 365 sms-authenticatie uitschakelen?

Ja, Microsoft 365-beheerders kunnen met beleidsinstellingen voor verificatiemethoden in Entra ID sms- en spraakoproepopties beperken of uitschakelen. Zo stuur je gebruikers naar veiligere opties zoals de Microsoft Authenticator-app of FIDO2-sleutels.

Hoe stoppen nummerovereenstemmingsmethoden in verificatie-apps phishing?

Bij nummerovereenstemming moet de gebruiker een specifiek nummer dat op het inlogscherm wordt getoond, invoeren in de verificatie-app. Zo voorkom je dat gebruikers blind op goedkeuren tikken tijdens prompt fatigue of adversary-in-the-middle-aanvallen.

Wat is het beste alternatief voor sms-codes voor zakelijke gebruikers?

FIDO2-beveiligingssleutels en moderne passkeys bieden het hoogste beveiligingsniveau, omdat ze volledig bestand zijn tegen phishing en werken met asymmetrische cryptografie in plaats van herbruikbare codes.