Passord lagret i Chrome eller Edge er et enkelt mål for angripere: Slik sikrer du dem bedre på fem minutter

Så lenge Chrome eller Edge er din passordboks, holder det at én datamaskin blir infisert av såkalt infostealer-skadevare før hele samlingen kan ligge på en kriminell server. Trusselbildet i 2026 er dominert av denne typen angrep, med over 149 millioner stjålne påloggingsopplysninger sporet tilbake til infostealere så langt i år.

Infostealer-programmer knekker ikke passordene dine. De spør Windows pent om nøkkelen. Chrome lagrer en kryptert hovednøkkel i en JSON-fil kalt Local State i brukerprofilen din, og den filen kan leses av alle prosesser som kjører under din brukerkonto. Det samme gjelder Edge, Brave og andre Chromium-baserte nettlesere. Vi har tidligere skrevet om hva som faktisk skjer med nettleser-lagrede passord når PC-en blir stjålet eller hacket.

Synkroniseringen gjør angrepet skalerbart

Når passordene synkroniseres til Google- eller Microsoft-kontoen din, blir kontoen selv det svakeste leddet. Overtar en angriper den kontoen, får han samtidig tilgang til hele den synkroniserte samlingen på andre enheter.

I august i år avdekket Palo Alto Networks' sikkerhetsteam Unit 42 tre nye angrep mot Google Password Manager på Windows-maskiner med TPM-brikke. Den alvorligste varianten, kalt Golden Pass-ta-key, henter ut Googles sikkerhetsdomene-nøkkel, hovednøkkelen, fra Chromes prosessminne og dekrypterer deretter alle synkroniserte passnøkler. Nøkkelen er på 32 byte, og Google har foreløpig ingen innebygd måte å trekke den tilbake på når den først har lekket.

Les også: Fem uker til Black Friday: Disse tech-produktene bør du vente med, og disse ikke

En nyere infostealer kalt Storm, som dukket opp i april i år, sender krypterte filer til angriperens egen infrastruktur og dekrypterer dem der i stedet for lokalt. Metoden omgår sikkerhetstiltakene Chrome innførte i versjon 127 og gjør det vanskeligere for sikkerhetsprogrammer å oppdage tyveriet.

En dedikert passordboks tetter de to største hullene

En frittstående passordbehandler holder dataene i en separat, kryptert boks som ikke åpnes automatisk hver gang nettleseren starter, og den er heller ikke avhengig av at Google- eller Microsoft-kontoen din forblir uskadd.

Bitwarden er den enkleste gratisveien ut. Gratisversjonen inkluderer åpen kildekode, nullkunnskaps-kryptering, ubegrenset antall passord og enheter, apper for Windows, Mac, iOS og Android, og en nettleserutvidelse for Chrome og Edge. Fordi koden er offentlig og uavhengig revidert, kan sikkerhetseksperter sjekke løftene selv.

Et neste trinn er passnøkler, passkeys. Google satte passnøkler som standard innloggingsmetode for personlige Google-kontoer allerede i 2023, og selskapet oppgir at de er 40 prosent raskere enn passord og motstandsdyktige mot nettfisking. Standarden fungerer også på iPhone, iPad og Mac, og på Windows 11 via Microsofts egen innlogging. En passnøkkel lagres i enheten din og brukes med fingeravtrykk, ansikt eller PIN, det finnes ingen tekststreng å stjele.

Les også: Sjekk fellesutgiftene før du betaler for internett: Mange nordmenn har allerede bredbånd inkludert

Fem minutter er alt det tar

Last ned Bitwarden-appen eller nettleserutvidelsen, lag en masterpassordfrase du husker, og eksporter passordene fra Chrome eller Edge via nettleserens innstillinger. Importer CSV-filen i Bitwarden, verifiser at alt kom med, og slett deretter CSV-filen og passordene fra nettleseren. Slå av passordsynkronisering i Chrome eller Edge etter importen, slik at nye passord bare lagres i Bitwarden. For Google- og Microsoft-kontoen selv aktiverer du passnøkkel i kontoinnstillingene, den fungerer parallelt med passord inntil du er klar til å kutte passordet helt.

Les også: Titalls apper vet nøyaktig hvor du er akkurat nå: To minutter i innstillingene fjerner tilgangen for godt