Din adgangskode er ikke problemet, det er genbrug af den

Genbrug af adgangskoder er den enkeltstående vane, der gør flest danskere sårbare over for hacking, identitetstyveri og svindel, og det gælder uanset hvor stærk eller lang den enkelte adgangskode er. Du kan sagtens have en adgangskode på tyve tegn med specialtegn og tal, men hvis du bruger den samme kode til din mailkonto, din netbank og din yndlingswebshop, er det reelt kun det svageste led, der afgør, hvor sikker du er. Og det svageste led er oftest ikke din adgangskode. Det er dét, at du genbruger den.

Derfor er genbrug af adgangskoder den største sikkerhedsrisiko

Når du opretter en konto hos en webshop, et spil, et nyhedsbrev eller en app, bliver din adgangskode gemt i en database hos den pågældende udbyder. Selv store og ellers velrenommerede virksomheder bliver hacket, og når det sker, lækkes ofte millioner af brugernavne og adgangskoder på én gang. Hvis du har brugt den samme kode flere steder, kan kriminelle tage dine stjålne oplysninger fra ét lille, glemte website og afprøve dem automatisk på hundredvis af andre tjenester, herunder din mail, din netbank og dine sociale medier. Denne metode kaldes credential stuffing, og den er en af de mest udbredte angrebsformer i dag, netop fordi den er billig og effektiv at udføre i stor skala.

Problemet er, at du sjældent opdager det, før skaden er sket. Et datalæk hos en lille tjeneste, du måske har glemt, at du overhovedet har oprettet dig på, kan ligge og vente i databaser på nettet i årevis, før nogen bruger det. Det gør genbrug af adgangskoder til en stille risiko, der akkumuleres over tid, hver gang du opretter en ny konto med en kode, du allerede bruger et andet sted.

Hvorfor er en enkelt stærk adgangskode ikke nok?

Mange tror fejlagtigt, at løsningen er at lave én meget kompliceret adgangskode og bruge den overalt. Men styrken på selve koden beskytter dig kun mod gætteangreb, altså forsøg på at knække koden direkte. Den beskytter dig ikke, hvis koden i stedet bliver stjålet fra en tjeneste, der opbevarer den usikkert, eller hvis du selv kommer til at indtaste den på en falsk login-side via phishing. I begge tilfælde er det ligegyldigt, hvor stærk koden er, hvis den samme kode giver adgang til din mail, dit Facebook og din netbank samtidig.

Myndigheder som Center for Cybersikkerhed peger netop på unikke adgangskoder per tjeneste som en af de mest effektive og samtidig mest overkommelige sikkerhedsforanstaltninger, den enkelte kan indføre.

Sådan fungerer en password manager i praksis

En password manager (på dansk ofte kaldet en adgangskodehåndtering eller et password-vault) er et program eller en browserudvidelse, der genererer, gemmer og automatisk udfylder unikke adgangskoder for dig. I stedet for at huske tyve eller tredive forskellige koder, skal du kun huske én, nemlig din hovedadgangskode (master password) til selve password manageren. Alt andet klarer softwaren for dig.

I praksis fungerer det sådan her:

1. Du installerer en password manager som app og browserudvidelse på dine enheder.
2. Du opretter en stærk hovedadgangskode, som du kun skal huske denne ene gang.
3. Når du opretter en ny konto et sted, foreslår password manageren automatisk en lang, tilfældig adgangskode, du ikke selv behøver at finde på.
4. Koden gemmes krypteret i din digitale boks, og næste gang du logger ind på samme side, udfylder programmet felterne automatisk.
5. Al data er krypteret, så selv udbyderen af password manageren i de fleste tilfælde ikke kan læse dine koder.

De fleste moderne password managere kan synkronisere på tværs af computer, tablet og telefon, så du har adgang til dine koder uanset enhed. Flere af dem kan desuden advare dig, hvis en af dine gemte koder dukker op i et kendt datalæk, hvilket giver dig mulighed for at skifte den, før nogen misbruger den.

Hvad skal man kigge efter i en password manager?

Der findes både gratis og betalte løsninger, og de fleste almindelige brugere kan sagtens klare sig med en gratis eller billig version. Når du vælger, bør du særligt se på:

• Kryptering: Løsningen bør bruge anerkendt kryptering, så dine data er ulæselige for udenforstående.
• Synkronisering på tværs af enheder: Så du kan logge ind, uanset om du sidder ved computeren eller på mobilen.
• Understøttelse af to-faktor-godkendelse til selve password manageren.
• Automatisk generering af adgangskoder, så du ikke selv skal finde på nye koder.
• Overvågning af datalæk, som advarer dig, hvis en gemt kode er blevet kompromitteret.

Det kan virke som en overgangsperiode med lidt ekstra arbejde at flytte alle sine konti over i en password manager, men de fleste brugere oplever faktisk, at hverdagen bliver lettere bagefter, fordi man slipper for at skulle huske eller nulstille glemte koder konstant.

To-faktor-godkendelse: det ekstra lag du ikke bør springe over

To-faktor-godkendelse (ofte forkortet 2FA) betyder, at du udover din adgangskode skal bekræfte din identitet med endnu et element, for eksempel en kode sendt til din telefon, et fingeraftryk eller en godkendelse i en app. Tanken er enkel: Selv hvis en kriminel har fået fat i din adgangskode gennem et datalæk eller phishing, kan vedkommende ikke logge ind uden også at have adgang til din telefon eller dit fingeraftryk.

De mest almindelige former for 2FA er:

• SMS-koder: Du får en engangskode tilsendt på sms, som du indtaster ved login. Nemt, men lidt mindre sikkert end andre metoder, da sim-kort i sjældne tilfælde kan kapres.
• Autentificator-apps: Apps som Google Authenticator eller Microsoft Authenticator genererer tidsbegrænsede koder direkte på din telefon uden brug af netværk.
• Fysiske sikkerhedsnøgler: En lille USB- eller NFC-enhed, du skal indsætte eller holde op mod telefonen for at bekræfte login.
• Biometri: Fingeraftryk eller ansigtsgenkendelse, især udbredt på mobile enheder.

Selv den simpleste form for 2FA stopper langt størstedelen af automatiserede angreb, fordi angriberen i praksis ville skulle have fysisk adgang til dit udstyr eller din telefon for at komme videre. Det er derfor, både banker og offentlige digitale løsninger som MitID stiller krav om flere faktorer, når du skal godkende følsomme handlinger.

Hvor bør du prioritere 2FA først?

Du behøver ikke slå det til alle steder på én gang. Start med de konti, der enten indeholder følsomme oplysninger eller kan bruges som nøgle til andre konti:

• Din primære mailkonto, fordi den ofte bruges til at nulstille adgangskoder andre steder.
• Netbank og betalingstjenester.
• Sociale medier, hvor identitetstyveri kan sprede sig til dit netværk.
• Password manageren selv, da den samler alle dine øvrige koder ét sted.

5 tegn på at en af dine konti allerede er kompromitteret

Det er desværre ikke altid tydeligt, at en konto er blevet overtaget, før skaden allerede er sket. Her er de advarselstegn, du bør være opmærksom på:

1. Du modtager login-notifikationer, du ikke genkender. Mange tjenester sender en mail, når der logges ind fra en ny enhed eller lokation. Tag dem alvorligt, selv hvis du antager, det er en fejl.
2. Din adgangskode virker pludselig ikke længere. Hvis en kriminel har overtaget kontoen, ændrer de ofte adgangskoden for at låse dig ude.
3. Du ser beskeder eller opslag, du ikke selv har lavet. Det gælder særligt på mail og sociale medier, hvor kontoen kan bruges til at sprede svindel videre til dine kontakter.
4. Du modtager kvitteringer for køb, du ikke har foretaget. Et klart tegn på, at betalingsoplysninger eller en konto med gemte kort er misbrugt.
5. Din mailkonto modtager pludselig nulstillingsmails fra tjenester, du ikke selv har anmodet om. Dette er ofte et tegn på, at nogen forsøger at bruge din mail som indgang til at overtage flere af dine øvrige konti.

Oplever du flere af disse tegn samtidig, bør du handle hurtigt: Skift adgangskoden med det samme fra en enhed, du er sikker på ikke er kompromitteret, aktivér to-faktor-godkendelse, hvis det ikke allerede er slået til, og gennemgå kontoens loginhistorik og tilknyttede enheder. Mange tjenester giver dig mulighed for at logge andre enheder af med ét klik, hvilket er værd at bruge, hvis du er i tvivl.

Sådan skifter du til sikrere vaner uden at det bliver besværligt

Den gode nyhed er, at du ikke behøver at omlægge hele din digitale hverdag på én gang. Det vigtigste er at komme i gang og gøre det til en vane, ligesom man vælger de rigtige løsninger inden for andre praktiske områder af livet. For eksempel er det samme grundprincip, der gør sig gældende, når man skal tjekke sikkerheden omkring digitale underskrifter til boligaftaler: Det handler om at vide, hvad man skal kigge efter, før man stoler på en digital løsning med vigtige oplysninger.

Her er en konkret trin-for-trin-plan, du kan følge over en weekend eller fordelt over en uges tid:

1. Trin 1: Installer en password manager. Vælg en løsning, og opret én stærk hovedadgangskode, som du ikke bruger andre steder.
2. Trin 2: Start med dine vigtigste konti. Skift adgangskoden på din mail, netbank og primære sociale medier til unikke, genererede koder.
3. Trin 3: Aktivér to-faktor-godkendelse på de samme konti, så du har dobbelt beskyttelse fra starten.
4. Trin 4: Gennemgå gamle konti. Brug lidt tid på at logge ind på konti, du sjældent bruger, og skift koden eller slet kontoen helt, hvis du ikke længere har brug for den.
5. Trin 5: Gør det til en vane fremadrettet. Lad password manageren generere en ny, unik kode, hver gang du opretter dig et nyt sted, i stedet for at genbruge en kode, du kan huske.

Det kan hjælpe at tænke på digital sikkerhed lidt som vedligeholdelse af et hus. Ligesom man løbende bør holde øje med, hvordan vejr og slid påvirker en bygning, for eksempel når havet slider hårdere på et sommerhus end man tror, kræver digital sikkerhed også løbende opmærksomhed snarere end én stor indsats én gang for alle. Små, jævnlige justeringer er langt mere holdbare end at vente, til noget går galt.

Hvad hvis man har rigtig mange konti?

Mange har over hundrede oprettede konti rundt omkring på nettet, og det kan virke uoverskueligt at skulle opdatere dem alle. Du behøver ikke gøre det på én gang. Prioritér de konti, der indeholder personfølsomme eller finansielle oplysninger, og lad resten vente, til du alligevel skal logge ind der næste gang. Password manageren vil typisk foreslå en opdateret, unik kode, hver gang du logger ind med en gammel, genbrugt kode, så processen sker gradvist og naturligt over tid.

Ifølge Forbrugerrådet Tænk er netop denne gradvise tilgang den mest realistiske for de fleste forbrugere, fordi det reducerer risikoen for, at man opgiver undervejs. Det handler om fremskridt, ikke perfektion fra dag ét.

Som en sidebemærkning er det værd at huske, at gode digitale vaner også gælder i andre sammenhænge, hvor man deler personlige oplysninger online, for eksempel ved planlægning af en fest, hvor man måske deler adresse og gæsteliste digitalt. Selv noget så uskyldigt som at bestille fustager til en fest og vælge den rigtige størrelse og øltype til gæsteantallet involverer ofte oprettelse af en konto hos en leverandør, og her gælder nøjagtig samme princip: Brug en unik adgangskode, også selv om kontoen virker triviel.

Ofte stillede spørgsmål

Er det farligt at bruge samme adgangskode til flere uvigtige konti?

Ja, fordi selv en “uvigtig” konto kan være forbundet til din mail eller indeholde oplysninger, der kan bruges til identitetstyveri. Mange angreb starter netop ved en lille, glemt tjeneste og spreder sig derfra til vigtigere konti via genbrugte koder. Det sikreste er at behandle alle konti, som om de kunne blive et springbræt til noget mere følsomt.

Hvad gør jeg, hvis jeg glemmer hovedadgangskoden til min password manager?

De fleste password managere tilbyder en gendannelsesproces, ofte baseret på en genoprettelsesnøgle, du får udleveret ved oprettelsen. Det er derfor vigtigt at gemme denne nøgle et sikkert sted uden for selve programmet, for eksempel udskrevet og opbevaret fysisk. Uden den risikerer du i værste fald at miste adgangen til alle dine gemte koder permanent.

Er to-faktor-godkendelse besværligt i hverdagen?

Det føles ofte lidt tungere de første gange, men bliver hurtigt en naturlig del af login-processen, især hvis du bruger en autentificator-app eller biometri frem for sms-koder. De fleste tjenester husker desuden enheden i en periode, så du ikke skal bekræfte ved hvert eneste login, men kun ved nye enheder eller mistænkelig aktivitet.

Kan jeg stole på gratis password managere?

Flere anerkendte gratis løsninger bruger samme krypteringsstandarder som de betalte versioner og er trygge at bruge til almindelige behov. Du bør dog altid undersøge udbyderens omdømme, hvor data opbevares, og om virksomheden har været involveret i sikkerhedshændelser tidligere, før du vælger en konkret løsning til