Le 10 novembre 2026, le Centre pour la Cybersécurité Belgique (CCB) a averti que plusieurs organisations belges ont été attaquées avec succès via la connexion Microsoft par SMS. Selon Security.NL, qui relaie l'alerte, un numéro de téléphone et un code reçu par SMS suffisaient, sans mot de passe. Le CCB demande de désactiver cette option sans attendre. Une entreprise qui utilise Microsoft 365 est directement concernée.
1. Ce que le CCB a constaté
Selon Security.NL, le CCB indique que plusieurs organisations belges ont été attaquées avec succès. Les attaquants ont exploité une méthode de connexion Microsoft où le SMS sert de premier facteur : un numéro de téléphone et un code à usage unique suffisaient. Aucun mot de passe n'était demandé.
Le CCB qualifie le SMS et la voix de méthodes d'authentification faibles, qu'ils servent de premier ou de second facteur.
2. Ce que le CCB recommande
Le CCB conseille d'agir maintenant : désactiver le SMS comme premier facteur, et retirer le SMS et la voix de tous les comptes administrateurs. Il demande aussi de chercher dans les journaux des connexions par SMS réussies, et de signaler toute attaque constatée.
Il met en garde contre une désactivation générale sans préparation, car des utilisateurs pourraient être bloqués. Identifiez d'abord qui dépend du SMS, puis testez une alternative résistante au phishing, comme les clés d'accès (passkeys) ou FIDO2.
3. Le calendrier de Microsoft
Selon Heise (22 septembre 2026), la connexion par SMS est déjà désactivée pour les tenants Entra ID Free. Microsoft prévoit de la bloquer le 1er février 2027 dans les tenants professionnels du monde entier, puis le 1er juillet 2027 pour les administrateurs globaux et les utilisateurs externes.
Dans son message aux administrateurs, Microsoft indique aussi désactiver automatiquement cette option dans les tenants sans connexion SMS réussie depuis 30 jours. Le déploiement est mondial et doit s'achever fin novembre 2026. Le SMS utilisé comme second facteur n'est pas visé par cette désactivation automatique.
4. Pourquoi cela concerne votre marketing
Un compte Microsoft donne accès à la messagerie, aux fichiers partagés et aux visuels de marque. Une boîte mail compromise permet d'envoyer de faux messages à vos clients et de réinitialiser les mots de passe d'autres outils, comme votre site ou vos comptes publicitaires.
L'alerte du CCB porte sur Microsoft. Le réflexe vaut pour tout outil qui accepte un code SMS comme seule porte d'entrée.
Le regard IA, l'humain d'abord
L'IA peut aider à relire des journaux de connexion, à repérer des accès inhabituels et à dresser la liste des utilisateurs qui se connectent encore par SMS. Elle fait ce tri en quelques minutes. Elle ne décide pas pour autant qui perd le SMS, quelle alternative on déploie, ni quels comptes administrateurs passent en priorité : ces choix restent humains, car une erreur bloque des collaborateurs ou laisse une porte ouverte. L'IA exécute. L'expertise décide, et veille.
À faire cette semaine
Demandez à la personne qui administre Microsoft 365 si la connexion par SMS est activée (dans Entra, méthodes d'authentification, option « Utiliser pour la connexion »). Listez les utilisateurs qui s'en servent et donnez-leur une alternative avant de désactiver. Retirez le SMS et la voix des comptes administrateurs, puis contrôlez les journaux de connexion.
Vistalaro Build sécurise les accès à vos sites et à vos automatisations (comptes administrateurs, authentification renforcée, hébergement en UE) et documente qui accède à quoi. Avec Vistalaro Pilot, un marketer senior dresse avec vous l'inventaire des accès marketing (messagerie, site, publicité) et fixe l'ordre des corrections.
Qui peut encore se connecter à vos outils avec un simple SMS ?
Vérifiez-le cette semaine : l'option se désactive en quelques clics, à condition de prévoir une alternative pour chaque utilisateur.
Discutons- Security.NL, Belgische overheid waarschuwt voor misbruik van inloggen via sms (10 novembre 2026, en néerlandais)
- heise online, Microsoft removes SMS-based authentication from Entra ID (22 septembre 2026, en anglais)
- Microsoft Message Center (miroir mc.merill.net), MC1465763 - Microsoft Entra: Prepare for Microsoft to disable unused or unsuccessful SMS first-factor sign-in (1 septembre 2026, en anglais)