Op 10 november 2026 waarschuwde het Centrum voor Cybersecurity België (CCB) dat meerdere Belgische organisaties met succes zijn aangevallen via de Microsoft-aanmelding met sms. Volgens Security.NL, dat de waarschuwing overnam, volstonden een telefoonnummer en een sms-code, zonder wachtwoord. Het CCB vraagt om deze optie zonder uitstel uit te schakelen. Elk bedrijf dat Microsoft 365 gebruikt, is rechtstreeks betrokken.
1. Wat het CCB vaststelde
Volgens Security.NL meldt het CCB dat meerdere Belgische organisaties met succes zijn aangevallen. De aanvallers misbruikten een Microsoft-aanmeldmethode waarbij sms de eerste factor is: een telefoonnummer en een eenmalige code volstonden. Er was geen wachtwoord nodig.
Het CCB noemt sms en spraak zwakke authenticatiemethoden, ongeacht of ze als eerste of als tweede factor worden gebruikt.
2. Wat het CCB aanraadt
Het CCB raadt aan nu te handelen: sms als eerste factor uitschakelen, en sms en spraak verwijderen van alle beheerdersaccounts. Het vraagt ook om in de logboeken te zoeken naar geslaagde aanmeldingen via sms, en elke vastgestelde aanval te melden.
Het waarschuwt voor een algemene uitschakeling zonder voorbereiding, want gebruikers kunnen buitengesloten raken. Bepaal eerst wie van sms afhangt en test dan een phishingbestendig alternatief, zoals passkeys of FIDO2.
3. De planning van Microsoft
Volgens Heise (22 september 2026) is aanmelden via sms al uitgeschakeld voor Entra ID Free-tenants. Microsoft wil het wereldwijd blokkeren in zakelijke tenants op 1 februari 2027, en op 1 juli 2027 voor globale beheerders en externe gebruikers.
In zijn bericht aan beheerders zegt Microsoft ook deze optie automatisch uit te schakelen in tenants zonder geslaagde sms-aanmelding in de voorbije 30 dagen. De uitrol is wereldwijd en moet eind november 2026 klaar zijn. Sms als tweede factor valt niet onder deze automatische uitschakeling.
4. Waarom dit uw marketing aanbelangt
Een Microsoft-account geeft toegang tot e-mail, gedeelde bestanden en merkmateriaal. Met een gekaapte mailbox kunt u valse berichten naar klanten sturen en wachtwoorden van andere tools resetten, zoals uw website of uw advertentieaccounts.
De waarschuwing van het CCB gaat over Microsoft. Hetzelfde reflex geldt voor elke tool die een sms-code als enige toegang aanvaardt.
De AI-blik, de mens eerst
AI kan helpen om aanmeldlogboeken te doorlopen, ongewone toegang op te sporen en de gebruikers op te lijsten die nog via sms inloggen. Die sortering gebeurt in enkele minuten. AI beslist niet wie sms verliest, welk alternatief u uitrolt of welke beheerdersaccounts voorrang krijgen: die keuzes blijven menselijk, want een fout sluit collega's buiten of laat een deur open. AI voert uit. Expertise beslist, en waakt.
Deze week
Vraag aan de persoon die Microsoft 365 beheert of aanmelden via sms actief is (in Entra, authenticatiemethoden, de optie « Gebruiken voor aanmelden »). Lijst de gebruikers op die het gebruiken en geef hen een alternatief voordat u het uitschakelt. Verwijder sms en spraak van beheerdersaccounts en controleer daarna de aanmeldlogboeken.
Vistalaro Build beveiligt de toegang tot uw websites en automatiseringen (beheerdersaccounts, sterkere authenticatie, hosting in de EU) en legt vast wie waartoe toegang heeft. Met Vistalaro Pilot maakt een senior marketeer samen met u de inventaris van uw marketingtoegangen (e-mail, website, advertenties) en bepaalt de volgorde van de correcties.
Wie kan nog inloggen op uw tools met één enkele sms?
Controleer het deze week: de optie is in enkele klikken uitgeschakeld, op voorwaarde dat u voor elke gebruiker een alternatief voorziet.
Laten we praten- Security.NL, Belgische overheid waarschuwt voor misbruik van inloggen via sms (10 november 2026)
- heise online, Microsoft removes SMS-based authentication from Entra ID (22 september 2026, in het Engels)
- Microsoft Message Center (miroir mc.merill.net), MC1465763 - Microsoft Entra: Prepare for Microsoft to disable unused or unsuccessful SMS first-factor sign-in (1 september 2026, in het Engels)