Depuis des années, recevoir un code par SMS pour confirmer votre identité semblait être une bonne habitude. Saisir ce code à six chiffres, valider, et voilà : vous étiez protégé. Microsoft vient d'enterrer cette pratique officiellement, et les raisons sont bien plus sérieuses qu'on ne le croit.
L'éditeur de Windows a annoncé la fin progressive des codes de vérification envoyés par SMS sur ses services, dont Outlook, Microsoft 365 et Xbox. Derrière cette décision se cache une réalité préoccupante : ces codes sont devenus une porte d'entrée privilégiée pour les cybercriminels. Voici ce qui change concrètement pour vous, et surtout comment vous adapter sans perdre l'accès à vos comptes.
Pourquoi Microsoft abandonne les codes SMS
Le SMS a toujours eu un talon d'Achille : il voyage en clair sur les réseaux téléphoniques. Contrairement à une application d'authentification, un code envoyé par texto peut être intercepté de plusieurs façons.
Le SIM swapping, une attaque en forte hausse
La technique la plus redoutée s'appelle le SIM swapping. Un attaquant contacte votre opérateur téléphonique en se faisant passer pour vous, prétend avoir perdu sa carte SIM, et obtient le transfert de votre numéro sur une nouvelle carte. Dès cet instant, tous vos SMS — y compris les codes d'authentification — arrivent sur son téléphone.
Ce type d'attaque a explosé ces deux dernières années. Aux États-Unis, le FBI a recensé plus de 68 millions de dollars de pertes liées au SIM swapping en 2023, un chiffre qui a continué de grimper depuis. En France, les opérateurs comme Free ou Orange ont renforcé leurs procédures, mais la menace reste réelle.
Le phishing en temps réel
L'autre vulnérabilité majeure, c'est ce qu'on appelle le phishing en temps réel. Un faux site imite parfaitement la page de connexion Microsoft. Vous entrez vos identifiants, le pirate les récupère immédiatement, déclenche une vraie connexion sur le vrai site, et vous demande de saisir le code SMS reçu. Vous obéissez, pensant être sur le bon site. En quelques secondes, votre compte est compromis.
Microsoft estime que ces attaques représentent aujourd'hui une « source de fraude » suffisamment grave pour justifier la suppression totale de cette méthode d'authentification.
Ce qui remplace les codes SMS
Bonne nouvelle : les alternatives sont plus simples à utiliser qu'on ne l'imagine, et surtout beaucoup plus sûres.
Microsoft Authenticator, la solution recommandée
L'application Microsoft Authenticator (disponible gratuitement sur Android et iOS) génère un code à usage unique toutes les 30 secondes, directement sur votre téléphone, sans passer par le réseau téléphonique. Même si quelqu'un copie votre SIM, il ne peut pas accéder à ces codes puisqu'ils sont liés à votre appareil physique.
Mieux encore, Microsoft propose désormais les notifications push : au lieu de saisir un code, une notification apparaît sur votre téléphone avec la question « C'est bien vous ? ». Un simple appui suffit pour valider.
Les clés d'accès (passkeys), l'avenir de l'authentification
Microsoft pousse également les passkeys, une technologie sans mot de passe basée sur la biométrie ou le code PIN de votre appareil. Concrètement, votre empreinte digitale ou votre visage remplace le mot de passe et le code SMS. Impossible à hameçonner, impossible à intercepter.
Google teste actuellement le transfert de passkeys entre applications sur Android, ce qui montre que toute l'industrie converge vers cette solution. Pour les comptes Microsoft, l'activation des passkeys se fait directement dans les paramètres de sécurité de votre compte sur account.microsoft.com.
Les clés de sécurité physiques
Pour les utilisateurs les plus exigeants — ou ceux qui gèrent des données professionnelles sensibles — les clés physiques de type YubiKey offrent le niveau de protection le plus élevé. Elles se branchent en USB ou fonctionnent en NFC, et sans la clé dans la main, aucun accès n'est possible.
Comment migrer sans perdre l'accès à vos comptes
La transition ne s'improvise pas. Voici la marche à suivre pour éviter de se retrouver bloqué.
Étape 1 — Vérifiez vos méthodes actuelles. Rendez-vous sur account.microsoft.com, puis dans « Sécurité » > « Options de sécurité avancées ». Vous verrez toutes les méthodes d'authentification enregistrées sur votre compte.
Étape 2 — Installez Microsoft Authenticator. Téléchargez l'application, connectez-la à votre compte Microsoft en scannant le QR code proposé dans les paramètres. Testez-la une première fois avant de supprimer le SMS.
Étape 3 — Enregistrez des méthodes de secours. N'ayez jamais une seule méthode d'authentification. Ajoutez un second appareil ou une adresse e-mail de récupération. Si vous perdez votre téléphone sans solution de secours, récupérer l'accès à votre compte peut prendre plusieurs jours.
Étape 4 — Supprimez le numéro SMS. Seulement quand les étapes précédentes sont validées, retirez le numéro de téléphone des méthodes d'authentification.
Et vos autres comptes ? Google, Apple, réseaux sociaux...
Microsoft ouvre la voie, mais cette évolution concerne l'ensemble de vos comptes en ligne. Google a déjà largement réduit l'usage des SMS dans ses propres services au profit des passkeys. Apple propose depuis iOS 16 des clés d'accès intégrées au trousseau iCloud.
La règle d'or : chaque compte important doit utiliser une application d'authentification, pas un SMS. Cela concerne votre messagerie, votre banque en ligne, vos réseaux sociaux et tout service qui stocke vos données personnelles ou financières.
En 2025, la France a enregistré un record historique de 6 167 violations de données personnelles selon la CNIL. Beaucoup auraient pu être évitées avec une authentification plus robuste que le simple SMS.
Si vous avez un doute sur la sécurité de votre ordinateur ou de vos comptes, ou si vous ne savez pas par où commencer pour sécuriser votre installation, des techniciens comme Fix72, joignable au 07 51 13 37 69, accompagnent les particuliers et les professionnels sur Le Mans et en Sarthe pour ce type de mise en conformité numérique. Un audit rapide suffit souvent à identifier les failles les plus évidentes.
Questions fréquentes
Q : Mon compte Microsoft fonctionne toujours avec le SMS, est-ce que je dois changer maintenant ?
R : Microsoft déploie ce changement progressivement. Certains comptes peuvent encore recevoir des SMS pendant quelques semaines ou mois. Mais ne pas attendre est fortement conseillé : migrer de son plein gré vous laisse le temps de configurer correctement les alternatives sans être pris au dépourvu.
Q : Que faire si je perds mon téléphone avec l'application Authenticator ?
R : C'est précisément pour ça qu'il faut configurer plusieurs méthodes de récupération à l'avance : un deuxième appareil, un email de secours ou des codes de récupération à imprimer et conserver en lieu sûr. Microsoft Authenticator propose aussi une sauvegarde chiffrée dans le cloud pour restaurer vos comptes sur un nouvel appareil.
Q : Les passkeys sont-elles vraiment plus sûres que mon mot de passe + SMS ?
R : Oui, de façon significative. Une passkey ne peut pas être volée via du phishing car elle est liée à votre appareil physique et au site web exact pour lequel elle a été créée. Même un site frauduleux parfaitement imité ne peut pas l'utiliser. C'est aujourd'hui la méthode d'authentification la plus résistante aux attaques pour le grand public.
