Microsoft débranche le code par SMS. En cause : trois centimes le courriel d'hameçonnage.

Le 1er février 2027, le SMS cessera d'être une option

À cette date, un salarié dont le seul second facteur d'authentification est un numéro de téléphone verra sa connexion s'interrompre. Ni avertissement, ni rappel : un écran bloquant, qui exigera l'enregistrement d'une passkey avant d'aller plus loin. La documentation de Microsoft ne laisse aucune marge de manœuvre, puisqu'elle précise qu'aucune dérogation ne sera possible et que la règle vaudra pour l'ensemble des tenants.

Le compte à rebours s'ouvre aujourd'hui, 1er septembre 2026. Il mérite qu'on s'y arrête, car un éditeur ne retire pas sans raison un mécanisme de sécurité qu'il aura mis dix ans à généraliser auprès de milliards d'utilisateurs.

Le déroulé et le calendrier

Microsoft Entra ID, l'annuaire d'identité qui héberge les comptes professionnels d'une large part des grandes entreprises, fait des passkeys son expérience d'authentification par défaut à compter d'aujourd'hui. Dans la pratique, les utilisateurs encore rattachés au SMS ou à l'appel vocal basculent automatiquement dans un profil passkey, et une invite d'enregistrement leur sera présentée dès leur prochaine authentification multifacteur (MFA, l'étape de vérification qui vient s'ajouter au mot de passe). Rien ne se casse cette semaine, cette invite pouvant être reportée un nombre illimité de fois. C'est le 1er février 2027 qui compte : Microsoft cessera alors d'assurer lui-même l'acheminement des SMS et des appels. L'annonce remonte au 13 juillet 2026 et porte la signature de Nadim Abdo, vice-président chargé de l'ingénierie des identités. Elle ne concerne pour l'heure que le cloud public. Le détail du dispositif figure dans la documentation Microsoft Entra.

Reste à comprendre pourquoi un code à six chiffres ne protège plus grand-chose. L'attaque type porte un nom, l'adversary in the middle (littéralement l'attaquant intercalé), et son principe tient en une phrase : le criminel installe un serveur relais entre la victime et la véritable page de connexion, puis retransmet en direct ce que l'une envoie à l'autre. La victime reçoit alors un SMS parfaitement authentique, émis par le vrai service, pour une connexion qui a réellement lieu à cet instant. Elle le saisit sur une page qui n'est pas la bonne, et le relais le fait suivre. Un code à usage unique n'est en effet rien d'autre qu'un secret partagé, une valeur qui ne vaut que parce que les deux extrémités la connaissent, acheminée par un canal quelconque puis recopiée à la main. Rien ne le rattache au site qui le réclame, ce qui rend son détournement trivial. Une passkey renverse cette logique : la moitié privée d'une paire de clés cryptographiques est générée sur l'appareil, n'en sort jamais, et le navigateur ne la présentera qu'au domaine exact qui l'a créée. Devant une adresse imitée, il ne dispose tout simplement d'aucune clé à fournir. La vigilance n'a donc pas changé de camp, elle a changé de nature, passant du jugement d'un humain pressé à une vérification automatique qu'aucun courriel bien tourné ne saurait attendrir.

• Microsoft fait état de campagnes d'hameçonnage assistées par IA atteignant 54 % de taux de clic, contre environ 12 % pour les campagnes classiques. Le chiffre provient de sa propre télémétrie, publiée dans son Digital Defense Report 2025.
• Des travaux indépendants vont dans le même sens, avec des ordres de grandeur plus prudents. Une expérience de terrain conduite auprès de 7 741 participants par des chercheurs de la TU Berlin, d'Inria et de la Ruhr University Bochum, présentée au symposium USENIX Security 2026, mesure un taux de clic 2,4 fois supérieur pour un hameçonnage personnalisé rédigé par une IA, à un coût d'environ trois centimes le message.
• Les organisations soumises à une contrainte réglementaire avérée pourront contractualiser avec un opérateur tiers via le Microsoft Security Store à partir du 30 octobre 2026, la liste des partenaires étant attendue pour le 18 septembre. La facture télécom, elle, changera de payeur.

Ce que cet arbitrage révèle

Cinq mois, donc, et une échéance sans souplesse. La difficulté ne tient pas au volume mais à la population concernée. Dans la plupart des tenants, les comptes encore adossés au SMS ne sont pas ceux du siège : ce sont les prestataires, les salariés de terrain dépourvus de téléphone géré, les comptes de service partagés et les accès administrateurs de secours, autrement dit ceux que personne n'a migrés parce que leur migration s'annonçait pénible. Microsoft met à disposition un script PowerShell pour les recenser, et l'exécuter en septembre plutôt qu'en janvier fait toute la différence entre un projet et un incident. Profitez-en pour examiner un point voisin : si votre procédure de récupération de compte retombe sur un appel au support, vous avez déplacé l'étape vulnérable au lieu de la supprimer, une voix clonée ne coûtant désormais presque rien à produire.

Le mouvement de fond, lui, mérite d'être posé sur la table lors de votre prochaine revue d'architecture. Un hyperscaler retire un dispositif de sécurité à des milliards d'utilisateurs, non parce qu'une faille inédite y aurait été découverte, mais parce que fabriquer le leurre qui en vient à bout revient désormais à trois centimes. Toute la sensibilisation des collaborateurs reposait sur une hypothèse économique, à savoir que l'attention de l'attaquant était une ressource rare et qu'un message fluide, documenté, taillé pour un comptable en particulier coûtait trop cher pour être rentable. C'est cette hypothèse qui s'effondre ici. Le SMS n'est que le premier dispositif à s'être appuyé dessus.

Les bons réflexes

1. Recenser dès cette semaine les comptes encore rattachés au SMS ou à la voix. Le script fourni par Microsoft fait remonter des comptes de service et des accès prestataires qui ne figurent dans aucun plan de migration, et c'est en septembre que ce décompte sert à quelque chose, pas en janvier.
2. Déclencher vous-même la campagne d'enregistrement des passkeys plutôt que de subir le paramétrage par défaut. Tant que le report reste autorisé, la charge qui retombe sur le support s'étale sur cinq mois au lieu de se concentrer sur la semaine où l'invite devient bloquante.
3. Traiter la récupération de compte avant l'authentification elle-même. Une connexion résistante à l'hameçonnage adossée à une réinitialisation par téléphone ne vaut que ce que vaut cette réinitialisation, et l'appel au support est devenu la voie d'entrée la moins chère du marché.

À retenir

La date à noter est le 1er février 2027, mais la question à poser bien plus tôt dépasse largement les passkeys. Chacun des contrôles qui reposent, dans votre organisation, sur la capacité d'une personne à repérer une anomalie a été calibré face à un attaquant contraint de rédiger son leurre à la main. À trois centimes le message, ce calcul n'existe plus, et le courriel d'hameçonnage n'en est que la manifestation la plus visible. Microsoft vient de désigner celui de ses propres contrôles qui n'a pas survécu à ce changement de prix. L'exercice utile consiste à dresser la liste des vôtres.