Meervoudige verificatie (MFA): zo zet je het op

Wat is MFA en waarom is een wachtwoord niet genoeg?

Bij het inloggen kun je volgens het NCSC drie soorten bewijs geven: iets wat je weet (een wachtwoord of pincode), iets wat je hebt (een pas of een authenticator-app op je telefoon) en iets wat je bent (een vingerafdruk of je gezicht). MFA combineert meerdere van die soorten, zodat een aanvaller met alleen je wachtwoord er niet in komt.

Een wachtwoord alleen is kwetsbaar. Het NCSC noemt hergebruik een groot risico: een gelekt privéwachtwoord kan ook je bedrijf schaden als een medewerker het voor werk hergebruikt. Phishingmails zien er vaak betrouwbaar uit en volgens het NCSC kan iedereen erin trappen. Het NCSC adviseert tweestapsinloggen minimaal aan te zetten voor bedrijfsapplicaties en in elk geval voor zakelijke e-mail.

Microsoft schrijft op Microsoft Learn dat MFA het risico op een gehackt account met meer dan 99 procent verlaagt. Een studie uit 2023, op basis van accounts in Microsoft Azure Active Directory, komt uit op 99,22 procent minder risico, en op 98,56 procent bij gelekte inloggegevens. Voor jouw bedrijf kan de uitkomst anders zijn.

Welke vormen van MFA zijn er en wat vindt het NCSC ervan?

Voor het NCSC telt ook de gekozen methode: sommige methoden bieden vooral een extra drempel. Hieronder staan ze van sterk naar zwak, in de volgorde die HAN-IT uit de bronnen afleidt.

• Passkey of beveiligingssleutel (FIDO2). Volgens het NCSC de veiligste vorm van authenticatie, omdat hij bestand is tegen phishing en de meeste andere aanvalstechnieken. Microsoft rekent passkeys, FIDO2-beveiligingssleutels en Windows Hello for Business tot de phishingbestendige methoden. Meer daarover lees je in Wachtwoordmanager en passkeys.
• Authenticator-app (melding met nummervergelijking, of een code uit de app). Microsoft adviseert deze boven sms en bellen, en in de studie uit 2023 deden authenticator-apps het beter dan sms-codes. Phishingbestendig is de methode niet: Microsoft rekent codes en goedkeuringen in een app tot de methoden die gevoelig zijn voor phishing op afstand. Het NCSC noemt het toevoegen van TOTP, de code uit zo’n app, “slechts marginaal veiliger”, vanwege toenemende aanvallen waarbij een aanvaller met een nagemaakte inlogpagina tussen jou en de echte site zit.
• Sms-code of spraakoproep. Het NCSC noemt sms een relatief onveilige vorm van MFA, omdat sms-berichten niet versleuteld zijn en kunnen worden onderschept, en raadt aan waar mogelijk geen sms-MFA te gebruiken. Microsoft adviseert gebruikers eveneens om van sms en bellen af te stappen naar een app zoals Microsoft Authenticator.

Ook de zwakkere vormen zijn volgens Microsoft een flinke verbetering ten opzichte van alleen een wachtwoord, maar ze blijven gevoelig voor phishing op afstand. Een code uit een app helpt dus, maar stopt geen aanvaller die meekijkt. Waar passkeys nog niet kunnen, adviseert het NCSC MFA. Het NCSC raadt aan eerst breed met MFA te beginnen en daarna te bepalen waar sterkere vormen nodig zijn, bijvoorbeeld bij accounts met veel rechten, leveranciersaccounts en systemen met gevoelige of bedrijfskritieke informatie.

Hoe omzeilen aanvallers MFA toch?

Het NCSC beschrijft hoe dat gebeurde bij softwarebedrijf AIMMS (aanval in 2020, verhaal van 12 mei 2021). Bij een medewerker stond telefonische 2FA aan: een automatische oproep waarop je met een druk op hekje (#) de inlogpoging goedkeurt. Het wachtwoord was zwak, werd op meerdere plekken gebruikt en was door een eerder datalek online te vinden. De aanvallers vroegen de goedkeuring acht keer aan, tot de medewerker op # drukte omdat die dacht dat de laptop de authenticatie nodig had. Het NCSC noemt dit MFA fatigue of MFA spamming.

AIMMS trekt in dat verhaal onder meer de les om spraakrespons voor tweefactorauthenticatie te blokkeren en codes via een app of hardware key te verplichten in plaats van sms. Microsoft noemt nummervergelijking een maatregel tegen MFA fatigue: je voert in de app een getal in dat op het inlogscherm staat. Bij Microsoft Authenticator staat dat voor alle pushmeldingen aan en gebruikers kunnen het niet uitzetten. Een MFA-melding die je zelf niet hebt aangevraagd keur je niet goed. Meld hem direct.

Een tweede omweg zit in oude inlogmethoden. Microsoft legt uit dat oudere mailprotocollen zoals IMAP, SMTP en POP3 geen MFA ondersteunen, dus een aanvaller kan MFA omzeilen zolang die openstaan. Microsoft blokkeert ze met de security defaults en biedt er ook een eigen beleidsregel voor. Een wachtwoord of code kan ook via een phishingmail worden buitgemaakt, dus leer je team ook phishing herkennen.

Hoe zet je MFA aan in Microsoft 365?

Microsoft Learn noemt twee routes en daarnaast een vangnet voor beheer.

• Security defaults. Gratis en zonder aparte licentie. Alle gebruikers moeten zich registreren voor MFA, beheerders doen MFA bij elke aanmelding en oude inlogprotocollen worden geblokkeerd. Bij omgevingen die op of na 22 oktober 2019 zijn aangemaakt staan ze mogelijk al aan. Je kunt ze alleen aan of uit zetten.
• Conditional Access (voorwaardelijke toegang). Vereist minimaal Microsoft Entra ID P1 (controleer vooraf of je abonnement dat bevat) en geeft volledige controle over wie wanneer MFA moet doen. Microsoft raadt een basisbeleid aan voor alle gebruikers en alle apps waarbij MFA verplicht is, met de noodtoegangsaccounts uitgesloten. Zet het eerst op alleen rapporteren, kijk in de inlograpporten wat er zou gebeuren en zet het dan pas aan. Met een authentication strength kun je ook phishingbestendige MFA eisen voor gevoelige toepassingen.
• Noodtoegang. Microsoft raadt aan minimaal twee noodtoegangsaccounts voor beheer te maken: alleen in de cloud, niet gekoppeld aan één persoon of telefoon, bij voorkeur met een passkey (FIDO2). Controleer minstens elke 90 dagen of ze werken.

Controleer ook wat Microsoft al heeft klaargezet. Voor in aanmerking komende omgevingen maakt Microsoft beleid aan in de stand alleen rapporteren. Laat je dat zo staan, dan schakelt Microsoft het volgens Microsoft Learn niet eerder dan 30 dagen na introductie in, na een aankondiging twee weken vooraf per e-mail en in het berichtencentrum (in sommige gevallen sneller, dat staat dan in de aankondiging). In het Microsoft 365-beheercentrum is MFA voor beheerders bovendien verplicht, met een geleidelijke uitrol vanaf februari 2025.

Zo voer je MFA in zonder dat je team protesteert

Dit stappenplan is van HAN-IT en steunt op de handreikingen van het NCSC en Microsoft. Het NCSC waarschuwt dat het afdwingen van sterke wachtwoorden averechts kan werken, omdat mensen dan een makkelijk wachtwoord kiezen en hergebruiken, en adviseert techniek in te zetten die veilige keuzes makkelijker maakt. Houd MFA daarom simpel en help je team erdoorheen.

1. Bepaal welke gegevens cruciaal zijn, zoals de administratie, ordersystemen en back-ups. Begin bij beheerders en bij de zakelijke mail van iedereen en breid daarna uit naar alle accounts en systemen.
2. Kies één methode die op alle telefoons in je team werkt, test hem vooraf zelf en zet er een tweede methode naast als reserve.
3. Start met een pilotgroep en breid in golven uit die je support aankan. Met alleen rapporteren zie je vooraf wie ertegenaan zou lopen, en in de inlograpporten van Microsoft Entra volg je de voortgang.
4. Leg vooraf uit waarom je het doet, hoe inloggen er straks uitziet en wie ze kunnen bellen bij vragen. Microsoft levert communicatiesjablonen en handleidingen voor medewerkers.
5. Regel herstel. Laat iedereen minimaal twee methoden registreren. Raakt iemand zijn telefoon kwijt, dan kan een beheerder een Temporary Access Pass uitgeven, een tijdelijke code waarmee die persoon zelf nieuwe methoden instelt. Beveilig ook het registreren zelf, want met een gelekt wachtwoord kan een aanvaller anders zijn eigen MFA-methode koppelen.
6. Vraag niet vaker om MFA dan nodig. Microsoft waarschuwt dat veel om inloggegevens vragen averechts kan werken: mensen voeren ze dan zonder nadenken in, ook op een nagemaakte inlogpagina.
7. Maak melden normaal. Het NCSC adviseert medewerkers aan te moedigen om te melden en dat makkelijk te maken, en schrijft dat wachten de schade vergroot.