Passordet du bruker på nettbanken er trolig knekt på under ett minutt: Slik lager du ett ingen kan gjette

Tallene kommer fra sikkerhetsselskapet Hive Systems, som hvert år måler hvor fort moderne grafikkort kan gjette seg gjennom passordhasher. Oppdateringen fra juli 2026 viser en nedgang i knekke-tid på rundt en femtedel per år, drevet av stadig kraftigere og billigere leie-maskinvare.

For et vanlig passord på åtte tegn med bare små bokstaver er svaret nå rundt to uker. Legger du på store bokstaver, tall og symboler, holder åtte tegn i 132 år mot samme angrep. Men er passordet et ord som finnes i en ordbok eller i en tidligere lekkasje, er det over på rundt tre sekunder.

Testene forutsetter at angriperen har stjålet en kryptert passord-hash (bcrypt, kostnad 10) og kjører den mot seksten Nvidia RTX 5090-grafikkort i skyen. Det er ikke lenger spesialisert angriper-utstyr, det er leiepriser hvem som helst med betalingskort kan skaffe.

Lengde slår kompleksitet

Gammel tommelfingerregel var åtte tegn med store bokstaver, tall og tegn. Den er utdatert. USAs standardiseringsorgan NIST skrev om reglene sine i den nyeste utgaven av SP 800-63B, og konklusjonen er tydelig:

Les også: Slutt på diesel i Skoda Octavia: Produksjonen av 2.0 TDI avsluttes i midten av 2027

«Verifiers and CSPs SHALL require passwords that are used as a single-factor authentication mechanism to be a minimum of 15 characters in length», heter det i standarden fra NIST. Minst 15 tegn når passordet er den eneste sikringen, og systemet bør tillate opptil minst 64 tegn for å støtte lange passordsetninger.

Samtidig skrur NIST vekk de gamle kravene mange kjenner fra jobb-pålogginger: «Verifiers and CSPs SHALL NOT impose other composition rules (e.g., requiring mixtures of different character types) for passwords.» Ingen tvungen blanding av store og små bokstaver, ingen symboler-krav, og: «Verifiers and CSPs SHALL NOT require subscribers to change passwords periodically.» Du skal bare bytte hvis det er mistanke om at passordet er lekket.

Matematikken er enkel. Hvert ekstra tegn multipliserer antallet mulige kombinasjoner, mens kompleksitetskrav bare ganger med en konstant. En kort, kryptisk streng som `P@ssw0rd!` havner på alle ordboksangrepernes topplister. En lang passordsetning med vanlige ord gjør det ikke.

Slik lager du en passordsetning som holder

Nasjonal sikkerhetsmyndighet (NSM) anbefaler passordsetninger som et praktisk alternativ til kryptiske tegnrekker. NSM bruker eksempelet «Jæ liker mei faktisk på ærbe», en setning med dialekt, bevisste skrivefeil og mellomrom som er lett å huske, men langt utenfor rekkevidde for et ordboksangrep.

Les også: Selger du gammel strømmebrikke: Netflix og Viaplay følger med videre til kjøperen

Oppskriften er like enkel som den høres ut:

• Velg tre til fem ord som betyr noe for deg, men som ingen kan gjette seg til fra sosiale medier. Ikke barnas navn, ikke fødselsåret, ikke favorittlaget.
• Sett dem sammen med mellomrom eller bindestrek, gjerne med en bevisst skrivefeil eller et dialektord.
• Sikt på minst 15-20 tegn totalt. En setning som «Blå-hest.danser.i.kjelleren.42» er 31 tegn og tilnærmet umulig å knekke med brute force.
• Bruk setningen på ÉN tjeneste. Gjenbruk er den viktigste årsaken til at folks kontoer tas over.

NSMs øvrige råd er at du bruker unike passord per tjeneste, et passordhåndteringsprogram, og at du «alltid bytt[er] standardpassord på produktene du kjøper». Hjemme-routeren og smart-TV-en står ofte med fabrikkpassord som hackere kjenner fra standardlister.

Passordet alene er ikke nok

Et sterkt passord beskytter deg mot gjetting. Det beskytter deg ikke mot at tjenesten du bruker, blir hacket og hele passord-databasen havner på nett. Og det har skjedd overraskende mange steder.

Lekkasje-tjenesten Have I Been Pwned registrerer nå 17,9 milliarder konto-oppføringer fra 1.051 kjente datainnbrudd. Sjansen for at minst én av dine kontoer er med i materialet, er betydelig.

Les også: Lader du el-sparkesykkelen eller el-sykkelen i gangen eller stuen: Slik kan batteriet starte brann mens du sover

Derfor er det NSM og NIST er samstemte om: passordet skal følges av to-faktor-autentisering på alt som betyr noe. Nettbank, e-post, Vipps, sosiale medier. To-faktor er en engangs-prosess på fem minutter som stopper innlogging selv om passordet ditt er ute.

Vil du vite om din egen e-post allerede står på en lekkasje-liste, kan du legge den gratis inn på haveibeenpwned.com og få svar med det samme. Finner tjenesten treff, bytter du passord på de rammede kontoene, og skrur på to-faktor samme dag.

Les også: Sikkerhetsforskere låste opp biler eksternt med et latterlig enkelt passord: Dørene åpnet og motorene startet