Microsoft gaat deze zomer gefaseerd multifactor-authenticatie verplichten voor alle Azure-gebruikers. Zo hoopt het bedrijf een belangrijke vector voor cybercriminelen onbruikbaar te maken.
MFA wordt vanaf juli verplicht voor alle Azure-gebruikers. Dat kondigt Microsoft zelf aan. Het bedrijf gaat multifactor-authenticatie gefaseerd uitrollen en zal binnenkort aan de hand van emails en notificaties in het Azure-portaal communiceren over een precieze timing. Door MFA verplicht te activeren op het niveau van de tenants, injecteert Microsoft een extra beveiligingslaag die klanten beter zal beschermen.
Gecompromitteerde accounts zijn essentieel voor aanvallers in zowat alle hacks die niet van een zero-day-kwetsbaarheid gebruik maken. De meeste ransomware-aanvallen beginnen bij een account waartoe criminelen onrechtmatig toegang hebben. Hackers krijgen toegang tot die accounts via phishing, eenvoudig te raden wachtwoorden, of hergebruikte wachtwoordgegevens die online circuleren na een eerder lek.
Simpel maar ijzersterk
Eigen onderzoek van Microsoft wijst uit dat 99,9 procent van de gecompromitteerde accounts géén MFA gebruikte. Het onderzoek toont tevens dat simpelweg de activatie van MFA 99,2 procent van de aanvallen die gebruik maken van accounts, kan blokkeren. Door MFA in te stellen, maak je het cybercriminelen dus erg moeilijk.
lees ook
Windows Hello is niet helemaal waterdicht
Dat is geen nieuws: slecht beveiligde accounts zijn al vele jaren de achilleshiel van beveiliging, en MFA is al jaren beschikbaar als krachtige en eenvoudige oplossing. Toch blijft de authenticatie met een extra factor in veel gevallen achterwege. Omwille van het belang van MFA kiest Microsoft er daarom voor om niet meer te wachten op vrijwillige adoptie, maar de techniek te verplichten.
Onduidelijkheid
MFA instellen is eenvoudig en gratis. Je hoeft niet te wachten op de verplichting van Microsoft. Je vindt de juiste instellingen in het Microsoft Entra-dashboard. Voor de verplichting in voege gaat, zijn er nog enkele onduidelijkheden. Zo verklapt Microsoft niet of er uitzonderingen zullen zijn, zoals voor service-accounts. Microsoft is trouwens niet de enige die MFA omarmt. AWS rolde in 2023 al een gelijkaardig beleid uit.