Aanvallen op Microsoft 365 in Belgiƫ via aanmelden met sms
Het Centrum voor Cybersecurity Belgiƫ (CCB) waarschuwde op 10 november 2026 dat aanvallers bij meerdere Belgische organisaties binnenraakten in Microsoft 365. Ze misbruikten een instelling waarmee je aanmeldt met enkel een sms-code, zonder wachtwoord.
Het CCB raadt aan om aanmelden met sms zo snel mogelijk uit te zetten. Hieronder lees je waarom, en hoe je dat doet zonder dat je collega’s plots niet meer kunnen aanmelden.
Snelle links š:
1. Waarom een sms-code niet meer volstaat
Normaal bevestig je een aanmelding met twee dingen, je wachtwoord en je smartphone. Staat aanmelden met enkel een sms-code aan, dan valt dat wachtwoord weg. Een aanvaller heeft dan alleen die code nodig om in je account te geraken.
En dat kan op meer manieren dan je denkt. Volgens het CCB kan je de code per ongeluk ingeven op een valse aanmeldpagina (phishing), kan iemand de sms onderweg opvangen en meelezen, of kan een aanvaller je gsm-nummer op een eigen simkaart laten zetten en zo jouw sms’en ontvangen (SIM-swapping). Het is een beetje zoals je huissleutel per post laten opsturen.
Ook als je sms gebruikt naast je wachtwoord, blijft dat risico bestaan. Zonder wachtwoord is het wel het grootst. De Microsoft Authenticator-app is al veiliger. Nog sterker zijn passkeys. Die werken met een sleutel op je toestel in plaats van een code die je doorgeeft. Volgens Microsoft heeft een aanvaller dan niets aan een valse aanmeldpagina of een overgezet gsm-nummer.
2. Microsoft stopt er zelf ook mee
Sinds 1 september 2026 zijn passkeys de standaard in Microsoft Entra ID, de dienst achter het aanmelden bij Microsoft 365. Vanaf 1 februari 2027 verstuurt Microsoft voor de meeste gebruikers geen sms- en spraakcodes meer. Vanaf 1 juli 2027 geldt dat ook voor beheerders en externe gebruikers.
Sms-codes verdwijnen uit Microsoft Entra ID
- 1 september 2026Passkeys worden de standaard. Wie sms gebruikt, krijgt de vraag een passkey te registreren.
- 10 november 2026Het CCB raadt aan om aanmelden met sms uit te zetten.
- 1 februari 2027Microsoft verstuurt geen sms- en spraakcodes meer voor de meeste gebruikers.
- 1 juli 2027Ook voor beheerders en externe gebruikers stoppen sms- en spraakcodes.
Bron: Microsoft Learn, CCB
Sms verdwijnt dus sowieso. Door het nu aan te pakken, voorkom je dat je alles op de valreep moet regelen.
3. Wat doet ConXioN?
ConXioN neemt deze waarschuwing ernstig.
Ben je klant bij ConXioN voor Managed M365 Tenant Baseline of Continuous Security (CSx)? Dan hebben wij sms en spraak als aanmeldmethode al voor je uitgezet. We namen al contact met je op over wat er verandert en wat je collega’s moeten doen.
Beheer je Microsoft 365 zelf? Dan lees je hieronder welke stappen het CCB aanraadt. Twijfel je? We helpen je graag verder.
4. Beheer je Microsoft 365 zelf? Zo pak je het aan
- Breng in kaart wie sms gebruikt. Denk aan collega’s, noodaccounts, gedeelde toestellen, externe gebruikers en koppelingen met andere systemen. Microsoft biedt hiervoor een analysescript.
- Zet aanmelden met enkel een sms-code als eerste uit, zodra die collega’s een alternatief hebben. In Entra doe je dat via Authentication methods ā SMS ā “Use for sign-in”.
- Haal sms en spraak weg bij beheerdersaccounts, zodra elk account een veiligere methode heeft, zoals een passkey.
- Test alternatieven zoals passkeys eerst bij een kleine groep, ook voor het resetten van wachtwoorden en je helpdeskprocedures.
- Verwittig je collega’s op voorhand en bouw sms en spraak daarna stap voor stap af.
- Kijk na of er verdachte aanmeldingen waren als aanmelden met sms aanstond. Let op aanmeldingen via sms, gewijzigde telefoonnummers, aanmeldingen vanaf ongewone locaties en nieuwe mailboxregels of toestemmingen voor apps.
- Meld een incident aan het CCB via het incidentformulier. Valt je organisatie onder NIS2, hou dan rekening met je meldingstermijnen.
Meer informatie vind je in de waarschuwing van het CCB en in de richtlijnen van Microsoft.
Vragen?
Bij vragen over deze waarschuwing kan je bij ons terecht via support@conxion.be.
Heb je vragen over Managed Security? Contacteer ons dan via info@conxion.be of neem rechtstreeks contact op met jouw Account Manager.