L’identité est devenue l’une des principales cibles des cybercriminels. Alors que l’IA rend les attaques de phishing plus rapides, plus convaincantes et de plus en plus difficiles à détecter, les méthodes d’authentification traditionnelles ne suffisent plus.
La dernière annonce de Microsoft reflète cette réalité. À partir du 1er février 2027, Microsoft mettra fin à ses services intégrés d’authentification par SMS et par appel vocal dans Microsoft Entra, tandis que les passkeys deviendront la méthode d’authentification par défaut pour les utilisateurs.
Cette annonce n’est pas une surprise. Dans notre précédent article, 2025 sera-t-elle l’année du passwordless ?, nous expliquions déjà pourquoi le secteur s’éloignait progressivement des mots de passe au profit de méthodes d’authentification résistantes au phishing.
Et même si cette évolution peut sembler purement technique, elle traduit un changement bien plus important : l’authentification résistante au phishing devient la nouvelle norme en matière de sécurité.
Dans cet article |
L’authentification par SMS et par appel vocal a longtemps été considérée comme un second facteur pratique, mais elle n’a jamais été conçue pour faire face au paysage actuel des cybermenaces.
Le SIM swapping, les proxys de phishing, l’ingénierie sociale et l’interception de codes à usage unique continuent d’en exposer les limites. Et alors que l’IA rend l’ingénierie sociale toujours plus convaincante et facile à déployer à grande échelle, la protection des identités numériques devient encore plus importante.
Les passkeys, en revanche, sont conçues pour résister par défaut au phishing. Elles offrent aux utilisateurs une expérience de connexion plus simple, tout en réduisant considérablement les risques de vol d’identifiants et de phishing.
Il s’agit d’une étape logique dans la stratégie plus globale de Microsoft en matière d’authentification sans mot de passe.
La date clé est peut-être février 2027, mais les organisations ne devraient pas attendre jusque-là pour agir.
À partir du 1er septembre 2026, Microsoft activera automatiquement les passkeys pour les utilisateurs qui dépendent encore de l’authentification par SMS ou appel vocal et commencera à les inviter à en enregistrer une.
Cela ne signifie pas que l’authentification par SMS et appel vocal cessera soudainement de fonctionner le 1er septembre. Pendant la période de transition, les utilisateurs pourront encore reporter l’enregistrement et continuer à utiliser leur méthode d’authentification existante.
La véritable échéance est fixée au 1er février 2027, date à laquelle Microsoft mettra fin à ses propres services d’authentification par SMS et appel vocal. Les utilisateurs dont le SMS ou l’appel vocal constitue encore la seule méthode MFA disponible recevront alors un message bloquant leur demandant d’enregistrer une passkey avant de pouvoir continuer à se connecter.
Pour les organisations ayant des exigences réglementaires ou opérationnelles spécifiques, des alternatives via des fournisseurs télécoms gérés par le client peuvent exister. Ces scénarios doivent toutefois être évalués avec soin plutôt que considérés comme une voie de migration par défaut.
Pour la plupart des organisations, la question principale n’est donc pas simplement de savoir comment remplacer le SMS et les appels vocaux, mais plutôt :
« Comment cette transition s’intègre-t-elle dans ma stratégie globale de gestion des identités ? »
Plutôt que de considérer cette évolution comme une nouvelle échéance imposée par Microsoft, les organisations devraient profiter des prochains mois pour déterminer à quoi devrait ressembler l’authentification résistante au phishing dans leur environnement.
Microsoft oriente clairement les organisations vers les passkeys, mais cela ne signifie pas que chaque utilisateur, appareil ou organisation doit suivre exactement le même parcours de migration. La bonne approche dépend de vos méthodes d’authentification actuelles, des appareils utilisés, de vos exigences de sécurité et de votre réalité opérationnelle.
Identifiez où le SMS et les appels vocaux sont encore utilisés.
De nombreuses équipes IT sous-estiment le nombre d’utilisateurs, d’administrateurs ou de scénarios legacy qui dépendent encore de ces méthodes d’authentification. Disposer d’une vue claire de la situation constitue la première étape d’une migration réussie.
Ne vous limitez pas à l’activation des passkeys.
La technologie que vous choisissez n’est qu’une partie de l’équation. Vos politiques d’authentification, votre stratégie Conditional Access, vos scénarios de récupération et vos processus opérationnels doivent évoluer en parallèle.
Prenons l’exemple des clés de sécurité FIDO2. Comment allez-vous gérer ces clés physiques pour l’ensemble de vos utilisateurs ? Que se passe-t-il lorsqu’un utilisateur perd sa clé et doit récupérer immédiatement son accès ? Comment les clés seront-elles distribuées et remplacées ? Et votre stratégie Conditional Access actuelle correspond-elle toujours au modèle d’authentification vers lequel vous évoluez ?
Préparez vos utilisateurs suffisamment tôt.
Abandonner des méthodes d’authentification familières modifie l’expérience utilisateur. Un déploiement progressif, une communication claire et une stratégie d’enregistrement adaptée peuvent considérablement réduire les frictions, tout en laissant aux équipes IT le temps d’apprendre et d’ajuster leur approche avant l’entrée en vigueur des nouvelles exigences.
Il n’existe pas de réponse unique adaptée à toutes les organisations. C’est pourquoi cette transition doit s’inscrire dans une réflexion globale sur l’Identity & Access plutôt que d’être considérée comme une simple modification de configuration Microsoft.
Les spécialistes Identity & Access d’Easi peuvent aider les organisations à évaluer ces différents scénarios et à définir un parcours concret vers une authentification résistante au phishing, adapté à leurs utilisateurs, leurs appareils et leurs exigences de sécurité.
L’annonce de Microsoft va bien au-delà de la fin de l’authentification par SMS et appel vocal. Elle reflète une évolution plus large vers une protection des identités plus robuste et résistante au phishing, qui devient l’un des fondements de la cybersécurité moderne.
Et l’IA accélère cette évolution. Alors que les organisations découvrent de nouvelles façons d’utiliser l’IA pour accroître leur productivité et stimuler l’innovation, les cybercriminels exploitent cette même technologie pour rendre le phishing et l’ingénierie sociale plus rapides, plus convaincants et plus difficiles à détecter.
Les organisations qui commencent à se préparer dès aujourd’hui ne se contenteront pas d’éviter des perturbations en février 2027. Elles franchiront également une étape importante vers une gestion des identités plus sécurisée, plus résiliente et prête pour l’avenir.
Vous vous demandez si votre environnement Microsoft Entra est prêt pour cette transition ? Les spécialistes Identity & Access d’Easi peuvent vous aider à évaluer votre stratégie d’authentification actuelle et à définir une feuille de route concrète vers une authentification résistante au phishing.
|
Dylan Pylyser |
Patrick De Waele |
Loïc Op De Beek |