SMS-koden fra banken beskytter deg dårligere enn du tror: Slik bytter du til noe langt tryggere på fem minutter

Får en svindler kapret telefonnummeret ditt, tikker koden inn hos ham i stedet for hos deg. Det kalles SIM-bytte-angrep, og det er grunnen til at både Nasjonal sikkerhetsmyndighet og amerikanske NIST har sluttet å regne SMS som en trygg andrefaktor.

Angrepet er enklere enn man skulle tro. Svindleren samler nok personopplysninger om deg til å ringe mobiloperatøren og utgi seg for å være deg, og ber om et nytt SIM-kort eller et eSIM til nummeret ditt. Lykkes han, går alle SMS-er og samtaler til hans telefon, inkludert engangskodene fra banken, e-post-tjenesten og de fleste nettbutikker.

Myndighetene har allerede avlyst SMS

NSM slo fast allerede i desember 2024 at engangskode på SMS eller e-post hører til de «tradisjonelle autentiseringsmekanismer som ikke er phishingresistent», og anbefaler virksomheter å gå over til passnøkler eller andre FIDO2-implementasjoner. Varselet gjelder virksomheter, men logikken er den samme for privatpersoner: SMS-kanalen kan avlyttes eller omdirigeres uten at du merker det.

NIST i USA har trukket samme konklusjon og flyttet SMS-engangskode ut av det som regnes som fullgod andrefaktor på høyeste tillitsnivå. Autentiseringsapper som genererer tidsbaserte koder lokalt på telefonen, såkalt TOTP, oppfyller fortsatt kravet.

Les også: Elbil eller bensin i 2026: Dette koster de deg per måned

Autentiseringsapp lukker SIM-bytte-hullet

Microsoft Authenticator og Google Authenticator genererer en sekssifret kode som bytter hvert tjuesekund. Koden lages på selve telefonen fra en delt nøkkel som ble lagret da du satte opp tjenesten, og den sendes aldri over mobilnettet. Et SIM-bytte flytter telefonnummeret ditt, men ikke appens hemmelige nøkkel, den ligger låst på enheten din.

Det er altså ikke en perfekt løsning. NSM regner også TOTP som ikke-phishingresistent, fordi en vellykket phishing-side i prinsippet kan lure deg til å skrive inn koden selv. Men for den konkrete trusselen de aller fleste nordmenn møter, svindlere som vil kapre nummeret ditt for å plyndre kontoer, er en autentiseringsapp et solid steg opp fra SMS.

Hva med BankID og Vipps?

BankID-appen fungerer ikke med SMS-koder i den daglige bruken, så et SIM-bytte gir ikke rett inn i nettbanken din. Samtidig har BankIDs eget aktiveringsregime vært under lupen i 2026. Finans Norge bekrefter i et brev til Finanstilsynet 14. april 2026 at Nasjonal kommunikasjonsmyndighet har varslet at BankID kan miste godkjenning på høyeste sikkerhetsnivå, blant annet på grunn av aktivering av BankID-appen med SMS og e-post. Nkom vurderer nå om tiltakene i vår er nok til å lukke avviket.

Problemet gjelder altså ikke selve BankID-innloggingen, men hvordan appen aktiveres. For resten av det digitale livet, Google-, Microsoft-, Apple- og Facebook-konto, de store nettbutikkene, kryptobørser og mange arbeidsgivere, er SMS-koden fortsatt standard. Det er her du selv kan gjøre endringen i løpet av et par minutter.

Les også: Laderen din kan lure deg: Slik sjekker du om den faktisk hurtiglader telefonen din

Slik bytter du

Last ned Microsoft Authenticator eller Google Authenticator fra App Store eller Google Play. Logg deretter inn på hver tjeneste du bruker SMS-kode på, finn tofaktor-innstillingen og velg «autentiseringsapp» i stedet for SMS. Du skanner en QR-kode med appen, bekrefter med en kode fra appen, og lagrer reservekodene et trygt sted, for eksempel i passordbehandleren din. Google Authenticator ble sist oppdatert 21. juli 2026, og Microsoft Authenticator fikk oppdatering 21. september 2026, så begge er klare for bruk nå.

Ring også mobiloperatøren din og be dem legge inn ekstra legitimasjonskrav, et kodeord eller en PIN, før de utsteder nytt SIM eller eSIM på nummeret ditt. Det er den enkleste bremsen mot et SIM-bytte som finnes.

Les også: Suzuki avduker e SKY i Japan: 310 km rekkevidde og pris fra rundt 140.000 kroner