Waarom dit vaker misgaat dan u denkt
Microsoft Authenticator is voor veel MKB-bedrijven de standaard tweede stap bij het inloggen. De app is gekoppeld aan één specifieke telefoon. Wie een nieuwe telefoon neemt en de apps overzet, heeft daarmee meestal nog geen werkende aanmelding voor zijn werkaccount: de koppeling met de oude telefoon moet worden vervangen. Gebeurt dat niet op tijd, dan zit de medewerker vast, juist op een moment dat hij aan het werk wil.
Het omgekeerde risico is net zo belangrijk. Een reset van meervoudige authenticatie (MFA) geeft iemand de mogelijkheid om een nieuwe telefoon aan een account te koppelen. Aanvallers weten dat en bellen helpdesks met een overtuigend verhaal over een kwijtgeraakte telefoon. Wie dan zonder controle een reset doet, geeft het account in feite weg.
Situatie 1: de oude telefoon is er nog
Dit is de makkelijkste route, en de route die u medewerkers zou moeten aanleren. Zolang de oude telefoon nog werkt, kan de medewerker zelf de nieuwe telefoon toevoegen:
- Installeer Microsoft Authenticator op de nieuwe telefoon.
- Ga op de computer naar de pagina Beveiligingsgegevens van het Microsoft-account (via Mijn account of mysignins.microsoft.com) en meld u aan; bevestig met de oude telefoon.
- Kies voor het toevoegen van een aanmeldmethode, kies de Authenticator-app en scan de QR-code met de nieuwe telefoon.
- Test de aanmelding met de nieuwe telefoon, maak die eventueel de standaardmethode en verwijder daarna de oude telefoon uit de lijst.
Pas daarna gaat de oude telefoon de deur uit. Het helpt om dit op te nemen in de instructie die medewerkers krijgen bij een nieuwe telefoon, en om het te benoemen bij het inleveren of inruilen van zakelijke telefoons.
En de back-up in de Authenticator-app?
Microsoft Authenticator heeft een functie om accounts te back-uppen en op een nieuwe telefoon te herstellen. Dat is handig, maar reken er voor werkaccounts niet blind op: na herstel moet een werkaccount vaak alsnog opnieuw worden bevestigd, en dat lukt niet als de oude methode al weg is en er geen tweede methode is. Zie de back-up daarom als hulpmiddel, niet als vervanging van de route hierboven of van een tweede aanmeldmethode.
Situatie 2: de telefoon is kwijt, gestolen of al ingeleverd
Nu kan de medewerker zichzelf niet meer helpen, tenzij hij een tweede methode heeft geregistreerd. Dan is een beheerder nodig. In het Microsoft Entra-beheercentrum kan die bij de gebruiker onder de verificatiemethoden de oude methode verwijderen of eisen dat de gebruiker zijn MFA opnieuw registreert. Bij de volgende aanmelding doorloopt de medewerker dan de registratie met zijn nieuwe telefoon.
Een nettere optie is de tijdelijke toegangspas (Temporary Access Pass). Dat is een toegangscode met een beperkte geldigheid, eventueel voor eenmalig gebruik, waarmee de medewerker zich kan aanmelden en zelf zijn nieuwe telefoon kan registreren. De tijdelijke toegangspas moet vooraf in het beleid voor verificatiemethoden worden ingeschakeld. Is de telefoon gestolen of verdwenen, trek dan ook de bestaande sessies van het account in en controleer of er recent vreemde aanmeldingen zijn geweest; daarover gaat ons artikel over riskante aanmeldingen. Staan er zakelijke apps of gegevens op de telefoon, kijk dan ook naar de afspraken over zakelijke apps op telefoons.
Controleer wie er belt
De belangrijkste afspraak: een MFA-reset of tijdelijke toegangspas komt er pas nadat de identiteit van de aanvrager is vastgesteld. Een naam en een functie zijn niet genoeg, want die staan vaak gewoon op LinkedIn of de website. Praktische controles voor het MKB zijn:
- terugbellen naar het telefoonnummer dat al bekend is bij de organisatie, niet naar het nummer waarmee wordt gebeld;
- een korte videoverbinding met iemand die de medewerker kent;
- bevestiging door de leidinggevende of een vaste contactpersoon, via een ander kanaal;
- bij twijfel: de medewerker komt langs op kantoor.
Leg ook vast wie een reset mag aanvragen en wie hem mag uitvoeren. Voor beheerdersaccounts geldt een strengere controle; zie ons artikel over beheerdersaccounts. Zorg daarnaast dat u nooit volledig wordt buitengesloten, met noodaccounts voor het geval de beheerder zelf zijn telefoon kwijt is.
Voorkomen: altijd een tweede aanmeldmethode
De meeste noodgevallen verdwijnen als elke medewerker ten minste twee aanmeldmethoden heeft. Denk aan de Authenticator-app plus een beveiligingssleutel of passkey, of de app op een zakelijke én een privételefoon als dat bij u past. Een sms-code kan als reservemethode dienen, maar is zwakker dan de app of een beveiligingssleutel en hoort niet de enige methode te zijn. Laat de app ook nummerverificatie gebruiken, zodat een medewerker niet zomaar een melding goedkeurt die hij niet zelf heeft veroorzaakt.
In het beleid voor verificatiemethoden bepaalt u welke methoden zijn toegestaan. Controleer periodiek in het overzicht van geregistreerde methoden welke medewerkers maar één methode hebben, en spreek ze daarop aan. Combineert u dit met zelfservice wachtwoordreset, dan gebruiken medewerkers dezelfde geregistreerde methoden voor beide.
Bij uitdiensttreding en ingeleverde telefoons
Verlaat een medewerker de organisatie, of wordt een zakelijke telefoon doorgegeven aan een collega, verwijder dan ook de geregistreerde aanmeldmethoden van het oude account. Een telefoon met een werkende Authenticator-koppeling hoort niet in een la of bij een opvolger te liggen. Neem dit op in uw in- en uitdienstchecklist.
Hoe Floor ICT dit regelt
Floor ICT stelt met u vast welke aanmeldmethoden uw organisatie toestaat en richt het beleid voor verificatiemethoden en de tijdelijke toegangspas in. We controleren wie maar één methode heeft en helpen medewerkers een tweede methode toe te voegen. U krijgt een korte instructie voor medewerkers met een nieuwe telefoon en een vaste werkwijze voor resets, inclusief de identiteitscontrole. Belt een medewerker ons voor een reset, dan volgen we die werkwijze, ook als het haast heeft. Zo blijft inloggen werkbaar en wordt een kwijtgeraakte telefoon geen ingang voor een aanvaller.