…

 

Tofaktor

Hvorfor godkendelsen ikke længere beviser, hvem der logger ind

Medarbejderen godkendte på mobilen, fordi der kom en anmodning. Det var ikke hende, der loggede ind.

Tofaktor er stadig den enkeltforanstaltning, der stopper flest angreb. Den er bare holdt op med at være et bevis for, hvem der sidder ved tastaturet.

Danmarks Statistik opgør, at 49 procent af små danske virksomheder bruger tofaktor. Halvdelen har den altså ikke.

Blandt dem, der har, er spørgsmålet et andet. Ikke om den er slået til, men hvilken type det er, og hvor den mangler.

Seksten sager fra arkivet viser, hvordan den bliver omgået i praksis. Og hvad der faktisk virker.

Fælles for de fleste er, at ingen brød en kryptering. De fik en godkendelse, der var beregnet til en anden.

Hvorfor det gentager sig

Angriberen stjæler sessionen frem for adgangskoden: Efter et login udsteder systemet en cookie. Den siger, at du allerede er godkendt. Får angriberen fat i den, er tofaktor overstået, før den bliver spurgt.

Godkendelsen er blevet en refleks: Den, der godkender ti gange om dagen, godkender også den ellevte. Angrebet består i at sende anmodningen på et tidspunkt, hvor den virker plausibel.

SMS og push er ikke phishing-resistente: Begge kan viderestilles i realtid gennem en falsk loginside. Nøgler og passkeys kan ikke, fordi de er bundet til adressen.

Værktøjerne er blevet billige: Færdige tjenester til at omgå tofaktor sælges for få hundrede kroner. Det kræver ikke længere tekniske færdigheder at bruge dem.

Godkendelsen blev omgået

Fem sager, hvor tofaktor var slået til og alligevel ikke holdt.

• Et værktøj til 850 kroner omgår jeres tofaktor: Det sælges færdigt på beskedtjenester. Danmarks Statistik opgør, at 49 procent af små danske virksomheder bruger tofaktor.
• 120 dollars var prisen på at komme forbi: Omkostningen ved at angribe er faldet hurtigere end forsvaret er blevet bedre.
• De stjæler cookien i stedet for koden: Infostealere høstede i 2025 i gennemsnit 1.861 cookies per inficeret maskine. En session-cookie springer hele loginforløbet over.
• 54 procent af ransomware starter med en infostealer: Over to millioner infostealer-logs eksponerede virksomheders cloud-identiteter.
• Europol lukkede tjenesten, efterfølgeren kom samme uge: 330 domæner beslaglagt fra en tjeneste bag 62 procent af al blokeret phishing globalt.

Der var ingen tofaktor at omgå

Her er problemet enklere. Kontrollen fandtes ikke, eller den dækkede kun nogle af adgangene.

• Ugevis uopdaget adgang til et register uden tofaktor: Rigsrevisionen fandt i januar 2025 regionernes beskyttelse af sundhedsdata ikke helt tilfredsstillende.
• Hacket to gange på tre måneder, mens platformen var fin: Fejlen lå i adgangen, ikke i systemet.
• Én privat pc med 268 gemte adgangskoder: Dansk Erhverv opgør, at danske mikrovirksomheder i gennemsnit har forholdt sig til 2,5 ud af 12 grundlæggende foranstaltninger.
• Den skjulte loginadresse er ikke en beskyttelse: At flytte adressen forsinker en scanner i minutter. Tofaktor forsinker en angriber permanent.
• Filoverførselsprogrammerne gemmer adgangskoder i klartekst: Værktøjer, der har ligget på maskinen i årevis, er stadig et sted at hente legitimation.

Nogen ringede i stedet for at hacke

Seks sager, hvor tofaktor blev nulstillet af en medarbejder, der troede, hun hjalp.

• Ét opkald til helpdesk kostede 2,8 milliarder: Angriberen ringede til den outsourcede support og fik nulstillet en adgang.
• Identitetsbeskyttelsen holdt under en time: En angriber ringede til en medarbejder og udgav sig for IT-support.
• Fjernsupporten var ikke fra leverandøren: Andelen af angreb uden malware steg til 79 procent i 2024 mod 40 procent i 2019. Der er ingen fil at opdage, når angriberen bare logger ind.
• Adgangskoden ligger til salg for 100 kroner: Gamle brud på private tjenester bliver til nøgler til firmakonti, når koden er genbrugt.
• Password manageren kan selv være risikoen: Et brud hos udbyderen i 2022 gav stadig knækkede bokse år efter.
• Ti millioner brugere lækket fra en privat tjeneste: Google og Mandiant bekræfter, at cirka 100 virksomheder var mål i samme kampagne på en måned.

De fire typer er ikke lige meget værd

Forskellen er ikke akademisk. Den afgør, om et angreb bliver forsinket eller forhindret.

SMS-kode: Bedre end ingenting. Kan viderestilles i realtid gennem en falsk loginside, og telefonnummeret kan overtages hos teleselskabet.

Push-godkendelse: Bekvem og udsat for refleksen. Angriberen sender anmodningen og venter på, at nogen trykker ja.

Engangskode fra en app: Bedre, fordi der ikke er noget telefonnummer at overtage. Koden kan stadig tastes ind på en falsk side.

Passkey eller fysisk nøgle: Bundet til den rigtige adresse. En falsk loginside får ingenting, fordi nøglen nægter at svare på et domæne, den ikke kender.

De tre første forsinker. Den fjerde forhindrer. For administratorkonti er forskellen hele pointen.

Skiftet kræver ikke, at alt laves om på én gang. Begynd med de konti, der kan ændre andres adgange.

Hvad der går galt, når forsvaret bygges

Tofaktor dækker mail og ikke resten: VPN, fjernadgang og administratorkonti er der, angriberen går ind. De bliver ofte glemt, fordi mail var det, der blev sat op først.

Nulstillingen har ingen kontrol: Selve tofaktor er stærk. Proceduren for at nulstille den er som regel et telefonopkald. Angriberen angriber proceduren.

Typen er ikke valgt bevidst: SMS blev slået til, fordi det var enklest. Forskellen på SMS og en fysisk nøgle er forskellen på at forsinke og at forhindre.

Sessionens levetid er uendelig: Er en session gyldig i uger, er en stjålet cookie det også. Kortere levetid koster lidt brugervenlighed og fjerner et helt angrebsmønster.

Leverandørernes adgange tælles ikke med: Kravet om tofaktor gælder ofte kun egne medarbejdere. Den eksterne konsulent med administratorrettigheder står uden for kravet.

Hvad I kan gøre

1. Find ud af, hvilke adgange der ikke har tofaktor: Ikke om I har den, men hvor den mangler. VPN, fjernadgang, administratorkonti og leverandøradgange først.
2. Skift de kritiske konti til passkeys eller fysiske nøgler: De kan ikke viderestilles gennem en falsk loginside, fordi de er bundet til adressen. Start med administratorerne.
3. Lav en skriftlig procedure for nulstilling: Med en kontrol, der ikke kan udføres over telefonen af en, der lyder rigtigt.
4. Sæt en levetid på sessioner til de systemer, der betyder mest: Det fjerner værdien af en stjålet cookie.
5. Tag emnet op, næste gang I fornyr forsikringen: Tofaktor er efterhånden en betingelse for dækning og ikke en anbefaling. Manglende tofaktor har allerede kostet dansk erstatning.

Hvilken ydelse afdækker det

Cybersecurity mystery shopping tester det led, sagerne ovenfor peger på. Vi ringer til jeres helpdesk og beder om en nulstilling, og I får at vide, hvad der skete.

En awareness-træning bagefter er det, der gør resultatet til en ændret vane frem for en rapport.

Jeg sælger ikke produkter og har ingen leverandørpartnerskaber. Anbefalingen bliver derfor ikke en bestemt tofaktorløsning.

Beslægtede mønstre

Er kontoen først overtaget, bliver spørgsmålet, hvor længe det varer, før nogen opdager det. Det behandles under firewalls, VPN og routere. Manglende tofaktor er samtidig et af de tre svigt, der går igen i Datatilsynets afgørelser.

Alle ni mønstre ligger samlet under cybersikkerhed.

Find ud af, hvor jeres tofaktor mangler

Ved I, hvilke af jeres adgange der stadig kan bruges med kode alene? Og hvem der kan nulstille en tofaktor over telefonen?

Ring på 70 13 63 23 eller udfyld formularen.

Så tager vi en snak om jeres adgange og finder ud af, om jeg kan hjælpe.