To-faktor på fem minutter: Slik stopper du kontotyveri selv når passordet er lekket

Det betyr at kontoene dine i praksis bare er beskyttet av én linje tegn som allerede kan ligge på et kriminelt forum. Microsoft blokkerte i snitt 7000 passord-angrep i sekundet i sin siste rapporteringsperiode, og de aller fleste av dem hviler på brukernavn og passord som er lekket fra tidligere datainnbrudd.

Løsningen er den samme som BankID allerede gir deg i nettbanken: to-faktor-autentisering, et ekstra verifiseringssteg i tillegg til passordet. Nasjonal sikkerhetsmyndighet (NSM) kaller det «viktigere enn noensinne» og forklarer at løsningen gjør det «vanskeligere for angripere å utgi seg som den tiltenkte brukeren».

Problemet er bare at få nordmenn har slått den på utenfor nettbanken. E-posten, Google-kontoen, Facebook og Instagram ligger som regel fortsatt med passord som eneste lås.

Hvorfor et sterkt passord ikke er nok

Angripere trenger ikke å gjette seg frem lenger. De kjøper ferdige brukernavn og passord fra tidligere lekkasjer og prøver dem automatisk på tvers av tjenester. Microsoft beskriver mekanikken slik: angriperne skaffer seg legitimasjonen «i stor grad fra lekkasjer», og kjøper den opp på nettkriminelle forumer slik at «hvem som helst» kan logge inn på kontoer.

Les også: Flytt elbilladingen til natten og spar tusener: Slik stiller du inn timeren på fem minutter

NSM slår fast at passord alene «ikke alltid er et fullt ut tilstrekkelig sikringstiltak», og anbefaler at passord «brukes i kombinasjon med noe annet». At du allerede har sjekket om e-postadressen din ligger i et datainnbrudd, hjelper lite hvis selve kontoen fortsatt kun er beskyttet av passordet.

Microsoft oppgir i sin siste årsrapport at phishing-resistent flerfaktor-autentisering stopper over 99 prosent av identitetsangrepene, «selv når angripere har korrekt brukernavn og passord».

Slik slår du det på i Google-kontoen

Google-kontoen er den viktigste å sikre fordi den ofte er navet for alt annet. En angriper med Gmail-tilgang kan tilbakestille passordet på nesten alle andre tjenester du bruker.

Logg inn på myaccount.google.com og velg Sikkerhet i menyen. Under «Slik logger du på Google» finner du 2-trinnsbekreftelse. Google tilbyr flere metoder: passkeys, varsler til telefonen, Google Authenticator eller fysisk sikkerhetsnøkkel. Passkeys og authenticator-app anbefales fremfor SMS. Som en ekstra sperre kan du følge opp med tre grep som gjør Google-kontoen vanskelig å overta.

Les også: Passord lagret i Chrome eller Edge er et enkelt mål for angripere: Slik sikrer du dem bedre på fem minutter

iPhone, Android og sosiale medier

For Apple-ID går du på iPhone til Innstillinger, trykker på navnet ditt øverst, så Pålogging og sikkerhet, og slår på To-faktor-autentisering. Du legger inn et telefonnummer som skal få en sekssifret kode ved innlogging fra en ny enhet.

For Facebook og Instagram åpner du appen, går til Innstillinger og personvern, deretter Kontosenter, så Passord og sikkerhet og til slutt To-faktor-autentisering. Velg den aktuelle kontoen og en metode. Meta anbefaler autentiseringsapp fremfor SMS. Selv om Facebook og Instagram deler kontosenter, må 2FA skrus på separat for hver konto.

Lagre reservekodene du får når du setter opp løsningen. Mister du telefonen, er kodene som regel eneste vei tilbake inn.

Velg app foran SMS

Når tjenesten lar deg velge, bør du droppe SMS. Kode på SMS kan avlyttes eller stjeles via SIM-bytteangrep, der svindlere overtar telefonnummeret ditt hos operatøren. En app som Google Authenticator eller Microsoft Authenticator genererer koden lokalt på telefonen og sender den aldri over nettet.

Les også: Fem uker til Black Friday: Disse tech-produktene bør du vente med, og disse ikke

Google har i tidligere forskning dokumentert at bare det å legge til et gjenopprettingsnummer blokkerer 100 prosent av automatiske bot-angrep, 96 prosent av bulk-phishing og 76 prosent av målrettede angrep. Med authenticator-app eller passkey stiger beskyttelsen ytterligere.

Oppsettet tar under fem minutter per konto. Start med e-posten, så den sosiale kontoen du bruker mest, og jobb deg nedover listen.

Les også: Sjekk fellesutgiftene før du betaler for internett: Mange nordmenn har allerede bredbånd inkludert