Microsoft stopt definitief met sms-codes voor accountaanmeldingen: passkeys nemen het over

Microsoft heeft aangekondigd dat het het gebruik van sms-codes voor het aanmelden bij Microsoft-accounts geleidelijk gaat beëindigen. Daarmee zet het bedrijf een grote stap richting een volledig wachtwoordloze toekomst, waarin zogenoemde passkeys de standaard worden voor veilige authenticatie. Vooral gebruikers van Windows 11 en Microsoft-diensten zullen de komende tijd merken dat sms-verificatie langzaam verdwijnt als optie voor zowel inloggen als accountherstel.

Volgens Microsoft is de reden duidelijk: sms-gebaseerde beveiliging is tegenwoordig één van de grootste bronnen van digitale fraude. Cybercriminelen slagen er steeds vaker in om telefoonnummers over te nemen via technieken zoals SIM-swapping, waarbij een aanvaller een provider misleidt om een telefoonnummer naar een andere simkaart over te zetten. Zodra dat lukt, kunnen sms-codes voor tweestapsverificatie eenvoudig worden onderschept.

Daarom wil Microsoft overstappen op modernere beveiligingsmethoden die beter bestand zijn tegen phishing, datalekken en accountdiefstal.

Wat zijn passkeys precies?

Passkeys zijn een nieuwe manier van inloggen die traditionele wachtwoorden en sms-codes moeten vervangen. In plaats van een geheim wachtwoord te onthouden of een tijdelijke code via sms te ontvangen, maakt een passkey gebruik van geavanceerde cryptografie.

Bij het aanmaken van een passkey worden twee digitale sleutels gegenereerd:

• één privésleutel die veilig op het apparaat van de gebruiker blijft opgeslagen;
• één publieke sleutel die door de online dienst wordt bewaard.

Wanneer iemand probeert in te loggen, bewijst het apparaat automatisch dat het over de juiste privésleutel beschikt. Dit gebeurt meestal via biometrische verificatie, zoals:

• vingerafdrukherkenning;
• gezichtsherkenning;
• een apparaat-pincode;
• of beveiligde hardware in smartphones en computers.

De privésleutel verlaat het apparaat nooit. Daardoor kunnen hackers deze niet onderscheppen via phishingwebsites, malware of datalekken. Zelfs als een kwaadwillende toegang krijgt tot de servers van een bedrijf, zijn de opgeslagen publieke sleutels op zichzelf nutteloos.

Waarom passkeys veiliger zijn dan wachtwoorden

Traditionele wachtwoorden hebben al jarenlang grote veiligheidsproblemen:

• gebruikers kiezen vaak zwakke wachtwoorden;
• hetzelfde wachtwoord wordt op meerdere websites hergebruikt;
• wachtwoorden kunnen worden gestolen via phishing;
• databases met wachtwoorden lekken regelmatig uit;
• sms-codes kunnen worden onderschept.

Passkeys lossen veel van deze problemen op doordat er geen geheim meer bestaat dat handmatig ingevoerd hoeft te worden.

Belangrijke voordelen van passkeys zijn onder andere:

Bescherming tegen phishing

Een passkey werkt alleen op de echte website of app waarvoor deze is aangemaakt. Een nepwebsite kan de sleutel niet gebruiken, zelfs niet als een gebruiker denkt op de juiste pagina te zitten.

Geen wachtwoorden om te onthouden

Gebruikers hoeven geen complexe wachtwoorden meer te bedenken of op te slaan.

Geen sms-onderschepping

Omdat verificatie lokaal op het apparaat gebeurt, hebben aanvallers niets aan het onderscheppen van berichten.

Sterkere cryptografische beveiliging

De gebruikte beveiliging is aanzienlijk geavanceerder dan traditionele wachtwoorden of eenmalige codes.

Gebruiksvriendelijker

Inloggen gaat vaak sneller via Face ID, Windows Hello of een vingerafdrukscanner dan via het handmatig invoeren van wachtwoorden.

Toch zijn er ook zorgen over passkeys

Hoewel passkeys door veel beveiligingsexperts worden gezien als de toekomst van digitale authenticatie, bestaan er ook kritische geluiden.

Onderzoekers van beveiligingsbedrijf SquareX waarschuwden in 2025 dat de browsers waarop passkeys vertrouwen mogelijk nieuwe aanvalsvectoren introduceren. Volgens hun onderzoek zouden kwaadwillenden bepaalde workflows binnen browsers kunnen manipuleren om gebruikers te misleiden.

Het probleem zit volgens de onderzoekers niet zozeer in de cryptografie van passkeys zelf, maar in de manier waarop browsers en websites de authenticatieprocessen presenteren aan gebruikers.

Daarbij zouden aanvallers bijvoorbeeld:

• nep-aanmeldingsvensters kunnen tonen;
• gebruikers kunnen misleiden met vervalste biometrische prompts;
• of authenticatiestromen kunnen kapen via browsermanipulatie.

Daardoor kan een gebruiker denken veilig met een passkey in te loggen, terwijl in werkelijkheid een aanval plaatsvindt.

Beveiligingsspecialisten benadrukken echter dat dit soort aanvallen meestal veel complexer zijn dan traditionele phishingaanvallen op wachtwoorden. Bovendien blijven passkeys in vrijwel alle praktijksituaties aanzienlijk veiliger dan sms-authenticatie en gewone wachtwoorden.

Waarom sms-authenticatie steeds meer verdwijnt

Sms-authenticatie werd jarenlang gezien als een goede vorm van tweestapsverificatie, maar inmiddels wordt deze methode steeds minder vertrouwd.

De belangrijkste problemen zijn:

SIM-swapping

Criminelen kunnen een telefoonnummer overnemen door providers te misleiden.

Sms-onderschepping

Berichten kunnen soms via telecomlekken of malware worden onderschept.

Afhankelijkheid van mobiele netwerken

Sms-verificatie werkt niet altijd betrouwbaar tijdens roaming, netwerkstoringen of in het buitenland.

Phishing

Gebruikers kunnen nog steeds worden overtuigd om codes vrijwillig door te geven aan aanvallers.

Steeds meer technologiebedrijven stappen daarom over op alternatieven zoals:

• authenticatie-apps;
• hardware security keys;
• biometrische verificatie;
• en passkeys.

Een grote verschuiving in digitale beveiliging

De beslissing van Microsoft markeert een belangrijk moment in de evolutie van online beveiliging. Grote technologiebedrijven zoals Apple, Google en Microsoft werken al jaren samen aan een toekomst zonder traditionele wachtwoorden.

Passkeys worden inmiddels ondersteund op:

• Windows 11;
• Android;
• iPhone en iPad;
• moderne webbrowsers;
• en veel populaire online diensten.

Hoewel wachtwoorden waarschijnlijk nog niet direct volledig verdwijnen, lijkt de overgang naar passkeys onvermijdelijk. De technologie biedt in de praktijk aanzienlijk betere bescherming tegen de meest voorkomende vormen van accountfraude.

Tegelijkertijd blijft waakzaamheid belangrijk. Geen enkel beveiligingssysteem is volledig onaantastbaar, en ook passkeys zullen voortdurend getest worden door onderzoekers én cybercriminelen.

Maar één conclusie delen vrijwel alle experts inmiddels wel: sms-authenticatie is niet langer veilig genoeg voor moderne digitale beveiliging.

Door: Drifter