Η Microsoft εντείνει τα μέτρα ασφαλείας για τους εταιρικούς πελάτες της, επιβάλλοντας έλεγχο ταυτότητας πολλαπλών παραγόντων (MFA) για όλους τους χρήστες που έχουν πρόσβαση στο κέντρο διαχείρισης του Microsoft 365.
Η πολιτική τίθεται σε πλήρη ισχύ στις 9 Φεβρουαρίου 2026, βασιζόμενη σε μια πιο ήπια διάθεση που ξεκίνησε τον Φεβρουάριο του 2025. Οι οργανισμοί που βασίζονται σε αυτά τα εργαλεία πρέπει να δράσουν τώρα για να αποφύγουν διακοπές.
Αυτή η κίνηση υπογραμμίζει την επιθετική ώθηση της Microsoft κατά των επιθέσεων που βασίζονται σε διαπιστευτήρια, οι οποίες παραμένουν κορυφαίος φορέας για παραβιάσεις. Σύμφωνα με το ιστολόγιο Tech Community της εταιρείας, οι διαχειριστές χωρίς MFA θα αντιμετωπίσουν αποκλεισμούς σύνδεσης από τον επόμενο μήνα.
«Η εφαρμογή MFA μειώνει σημαντικά τον κίνδυνο παραβίασης του λογαριασμού», αναφέρει η ανάρτηση, τονίζοντας τις άμυνες κατά του phishing, της γέμισης διαπιστευτηρίων, των επιθέσεων ωμής βίας και της επαναχρησιμοποίησης κωδικών πρόσβασης.
MFA για το Microsoft 365 Admin
Οι ειδικοί στον τομέα της κυβερνοασφάλειας υπερασπίζονται εδώ και καιρό το MFA ως τον ακρογωνιαίο λίθο των αρχιτεκτονικών μηδενικής εμπιστοσύνης, ειδικά εν μέσω αυξανόμενων απειλών ταυτότητας. Μόνο το 2025, η Αναφορά Ψηφιακής Άμυνας της Microsoft σημείωσε πάνω από 300 εκατομμύρια καθημερινές προσπάθειες πλήρωσης διαπιστευτηρίων στις υπηρεσίες της.
Οι λογαριασμοί διαχειριστή υψηλού προνομίου, που συχνά στοχεύονται από καμπάνιες ransomware που εκμεταλλεύονται τις αδυναμίες του Entra ID, θα ωφεληθούν περισσότερο.
Το κέντρο διαχείρισης που χρησιμοποιείται για τη διαχείριση ενοικιαστών, χρηστών και διαδικασιών συμμόρφωσης χειρίζεται ευαίσθητες λειτουργίες. Χωρίς MFA, ένας κλεμμένος κωδικός πρόσβασης παρέχει στους εισβολείς πρόσβαση σαν θεϊκή.
Η επιβολή στοχεύει τρεις βασικές πύλες: portal.office.com/adminportal/home, admin.cloud.microsoft και admin.microsoft.com. Ρυθμίσεις παλαιού τύπου χωρίς ενεργοποιημένη MFA σε επίπεδο μισθωτή θα μπορούσαν να κλειδώσουν εντελώς τους παγκόσμιους διαχειριστές.
Η Microsoft προτρέπει την άμεση δράση. Οι παγκόσμιοι διαχειριστές θα πρέπει να ξεκινήσουν τη ρύθμιση χρησιμοποιώντας τον Οδηγό MFA ή τον λεπτομερή οδηγό στο Learn.microsoft.com. Αυτό επιτρέπει σε ολόκληρο τον οργανισμό MFA, ενσωματώνοντας μεθόδους, όπως ειδοποιήσεις push της εφαρμογής Microsoft Authenticator, κωδικούς SMS ή διακριτικά υλικού.
Οι μεμονωμένοι χρήστες που έχουν πρόσβαση στο κέντρο διαχείρισης μπορούν να επαληθεύσουν ή να προσθέσουν μεθόδους στο aka.ms/mfasetup. Αυτά που έχουν ήδη διαμορφωθεί δεν χρειάζονται αλλαγές, αλλά θα πρέπει να ελέγχουν την πληρότητα των λογαριασμών, ειδικά σε υβριδικά περιβάλλοντα που συνδυάζουν την υπηρεσία καταλόγου Active Directory εσωτερικής χρήσης με το αναγνωριστικό Entra.
Η διάθεση γίνεται σταδιακά, αλλά καθυστερεί τις διακοπές κινδύνου κατά τη διάρκεια κρίσιμων εργασιών, όπως η επιδιόρθωση ευπαθειών ή ο έλεγχος των αρχείων καταγραφής ελέγχου. Η Microsoft διαβεβαιώνει ότι οι συμμορφωμένοι χρήστες αντιμετωπίζουν μηδενικό χρόνο διακοπής λειτουργίας, ευθυγραμμιζόμενοι με ευρύτερες εντολές, όπως προεπιλογές ασφαλείας για νέους ενοικιαστές.
Αυτή η πολιτική εμπλέκεται σε πλαίσια συμμόρφωσης όπως τα SOC 2, HIPAA και NIST, όπου απαιτείται συχνά το MFA για προνομιακή πρόσβαση. Για οργανισμούς που βαρύνουν το σύννεφο, ενισχύει τις άμυνες παράλληλα με τις πολιτικές πρόσβασης υπό όρους και τη διαχείριση προνομιακής ταυτότητας (PIM). Οι αναλυτές προβλέπουν παρόμοιες επιβολές για άλλες επιφάνειες υψηλού κινδύνου, όπως οι διαχειριστές του Power Platform.
Καθώς οι απειλές εξελίσσονται, με το ηλεκτρονικό ψάρεμα που βασίζεται σε τεχνητή νοημοσύνη να αυξάνεται, τέτοιες εντολές σηματοδοτούν το τέλος της εποχής των κωδικών πρόσβασης μόνο. Οι οργανισμοί θα πρέπει να δώσουν προτεραιότητα στους ελέγχους ΜΧΣ τώρα, αντιμετωπίζοντάς τους ως σημεία ελέγχου συμμόρφωσης και όχι ως απλά πλαίσια ελέγχου.
