Derfor er stærke adgangskoder ikke længere nok alene

Stærke adgangskoder giver ikke længere tilstrækkelig beskyttelse mod nutidens avancerede cyberangreb, fordi både phishing, automatiske brute force-forsøg og credential stuffing udnytter menneskelige fejl og kendte loginoplysninger, som selv komplekse koder ikke kan stoppe. For at imødekomme nutidens trusselsbillede anbefaler vi, at virksomheder kombinerer flere lag af sikkerhed som multifaktor-autentificering, løbende overvågning og målrettet medarbejdertræning, det er nødvendigt for at beskytte både data, omdømme og daglig drift effektivt.

Key takeaways

• Phishing, credential stuffing og automatiserede brute force-angreb kan omgå selv stærke adgangskoder, hvilket øger risikoen for databrud.
• Genbrug og læk af adgangskoder gør det let for angribere at kompromittere flere konti, ofte uden at brugeren selv opdager det.
• Multifaktor-autentificering (MFA) tilføjer en afgørende ekstra barriere, der markant reducerer risikoen for uautoriseret adgang.
• Løbende medarbejdertræning og awareness-programmer er vigtige for at opdage og stoppe forsøg på phishing og social engineering.
• Brug af password managers og personlige brugerprofiler mindsker både risikoen ved genbrug af adgangskoder og konsekvenserne af kompromitterede konti.

Nye typer cyberangreb udnytter selv stærke adgangskoder

Fjenden står ikke længere kun udenfor og gætter på dit password. Cyberkriminelle bruger i dag en kombination af metoder, der gør traditionelle adgangskoder langt mindre sikre end før. Selv om du bruger lange og komplekse adgangskoder, er det ofte ikke nok.

Phishing, brute force-angreb og credential stuffing gør det voldsomt svært at beskytte sig udelukkende med adgangskoder. Ved phishing prøver angriberne at snyde folk til at dele deres adgangsoplysninger, for eksempel via e-mails der ligner officielle beskeder. Credential stuffing afhænger af, at folk genbruger adgangskoder på tværs af tjenester. Angribere samler data fra tidligere datalæk og prøver dem af på andre platforme. Det er overraskende, hvor ofte det lykkes.

Brute force-metoden har også udviklet sig. I dag bruger hackere avancerede programmer og kunstig intelligens, der lynhurtigt tester millioner af kombinationsmuligheder. Statistikken taler sit tydelige sprog: Ifølge IBM’s Cost of a Data Breach Report 2023 skyldes cirka 16 procent af alle databrud stjålne eller svage adgangskoder.

Praktiske konsekvenser og anbefalinger

Når vi forklarer vores kunder, hvorfor den gamle tilgang ikke længere virker, peger vi ofte på disse almindelige faldgruber:

• Genbrug af adgangskoder på flere konti. Det gør det langt lettere for angribere at ramme flere systemer på én gang.
• Kompromitterede adgangskoder opdages sjældent af brugeren selv. Angribere kan i månedsvis have adgang uden at blive opdaget.
• Avancerede angreb er blevet automatiserede. Det øger både hastigheden og succesraten for hackere.

For at imødegå disse trusler, bør alle virksomheder satse på teknologier som multifaktor-autentificering, overvågning af datalæk og løbende træning af medarbejdere. Gode råd og konkrete tekniske løsninger bliver præsenteret i vores webinar om at gøre virksomheden sværere at hacke.

Vi anbefaler desuden at følge med i de nyeste hackerangreb for at forstå, hvor hurtigt trusselsbilledet ændrer sig, samt at styrke virksomhedens samlede IT-sikkerhed ud over den enkelte adgangskode.

Adgangskoder kan ikke længere stå alene i moderne cybersikkerhed

Hackerangreb udvikler sig konstant, og det betyder, at stærke adgangskoder ikke længere yder sikker beskyttelse alene. Selvom en adgangskode består af både tal, specialtegn og bogstaver i forskellige længder, finder cyberkriminelle ofte alternative veje ind. Det ser vi i praksis, hvor selv virksomheder med komplekse passwordpolitikker stadig udsættes for databrud eller kontoovertagelser.

Vi har set eksempler på phishing, der snyder ansatte til at afgive adgangsoplysninger, men også såkaldte credential stuffing-angreb, hvor lækkede adgangskoder fra ét brud bruges til at kompromittere konti hos andre tjenester. Derfor hjælper det ikke kun at gøre adgangskoder længere eller mere komplekse.

Derfor skal du tænke lag-på-lag sikkerhed

Moderne trusler kræver, at virksomheder ser adgangskoder som én brik blandt flere i arbejdet med it-sikkerhed. Det handler ikke længere om bare at styrke et enkelt forsvar, men om at kombinere flere lag. Vi anbefaler for eksempel altid følgende tiltag:

• Benyt multifaktorautentificering (MFA), så der kræves bekræftelse gennem fx mobilen ved login. Det gør det næsten umuligt for hackere kun at bruge stjålne adgangskoder.
• Implementér overvågning og advarsler, så unormal adfærd – som login fra ukendte geografiske placeringer – hurtigt bliver opdaget og kan stoppes.
• Sørg for løbende træning og awareness blandt medarbejdere, så de kan identificere phishing og andre forsøg på social engineering.
• Brug adgangskodeadministrator til at generere og huske unikke adgangskoder. Det minimerer faren ved genbrug af koder, som ofte udnyttes ved credential stuffing.

Her kan du læse en grundig introduktion til it-sikkerhed for virksomheder og få flere råd til, hvordan systemer gøres sværere at bryde ind i.

Angreb rammer stadig, også med stærke adgangskoder

Virkeligheden er, at cyberangreb rammer både dem med stærke adgangskoder og dem med svage. Årsagen er, at hackere benytter sig af forskellige teknikker ud over at gætte eller bryde adgangskoder. Her er nogle af de måder, de arbejder på:

• Phishing-mails med overbevisende indhold, der narre medarbejdere til at afsløre loginoplysninger eller downloade skadelig software.
• Udnyttelse af kendte software-sårbarheder, hvor hackerne slipper ind uden om adgangskoden.
• Brugen af sociale medier og offentlige informationer til at udforme målrettede angreb mod udvalgte personer (spearphishing).

Det gør det nødvendigt ikke kun at fokusere på adgangskodernes styrke, men også at tænke i kontrol af adgange, awareness-programmer og hurtig reaktion ved mistænkelig aktivitet. Du kan finde inspiration til, hvordan du mindsker risikoen for hackerangreb her og enkle trin, der løfter din generelle cybersikkerhed.

Skiftet fra simpel adgangskodestyrke til helhedsorienteret cybersikkerhed er ikke kun et teknisk krav, men en del af en moderne virksomhedsansvar. Vores erfaring viser, at virksomheder, der kun satser på adgangskoder, løber en unødvendig risiko. Det er langt mere effektivt at kombinere tekniske løsninger med menneskelig opmærksomhed og klare processer for hurtigt at lukke hullerne ved et brud.

Hvis du vil fordybe dig yderligere, anbefaler vi at deltage i vores webinar, hvor du får 6 konkrete råd til at gøre din virksomhed sværere at hacke. Her får du både strategier og praktiske værktøjer, der vil gøre en forskel – langt mere end adgangskoder alene.

Derfor er to faktor godkendelse et nødvendigt supplement

To faktor godkendelse, bedre kendt som 2FA, giver dig en ekstra sikkerhedsbarriere, der rækker ud over bare et stærkt password. Vi ser, at avancerede trusler breder sig, og adgangskoder alene halter bagefter. Angribere bryder adgangskoder hurtigere end nogensinde før, især dem der genbruges eller er lette at gætte. Derfor anbefaler vi altid at kombinere stærke adgangskoder med en anden identitetsfaktor.

Hvordan 2FA forhindrer automatiserede angreb og booster sikkerheden

Når du aktiverer to faktor godkendelse, kræver du, at brugeren verificerer sin identitet på en ekstra måde — typisk med et tidsbegrænset kodeord via sms eller en app som Authenticator. Det gør livet markant sværere for hackerne, selv hvis de får fingre i dit kodeord. Ifølge Microsoft stopper 2FA op til 99 procent af automatiserede angreb. Det står meget klart: Vil du mindske risikoen, skal du ikke forlade dig på adgangskoder alene.

Du kan nemt gøre brug af 2FA på private konti eller i virksomheden. Næsten alle større tjenester fra e-mails til cloudplatforme tilbyder i dag en intuitiv opsætning, hvor du hurtigt er i gang. Overvej især 2FA, hvis du arbejder med følsomme data eller har været udsat for tidligere hackerangreb.

Her er de mest populære former for to faktor godkendelse, som vi anbefaler:

• Engangskoder (OTP) sendt via sms eller e-mail
• Engangskoder genereret i apps som Microsoft Authenticator eller Google Authenticator
• Push-godkendelser, hvor du godkender login direkte på din mobil
• Fysiske sikkerhedsnøgler (USB eller NFC)

2FA kan lyde teknisk, men i praksis reducerer det risikoen for datatab eller kompromittering betydeligt. Er du usikker på, hvordan du kommer i gang, eller savner du overblik over moderne sikkerhed? Vi har samlet basisviden og overblik om it-sikkerhed på ét sted.

Hvad bør du gøre for at styrke din cybersikkerhed i hverdagen

Alle i virksomheden bør kombinere stærke adgangskoder med flere lag af sikkerhed for virkelig at beskytte sig mod moderne trusler. Adgangskoder alene er ikke nok, især når hackere konstant ændrer deres metoder. Selv hvis dine adgangskoder er lange og unikke, bør du straks tage ekstra forholdsregler.

Praktiske skridt til øget sikkerhed i dagligdagen

Vi anbefaler, at du opgraderer dine sikkerhedsrutiner gennem følgende konkrete tiltag:

• Vælg stærke adgangskoder for alle tjenester, og sørg for, at de ikke bliver genbrugt.
• Aktiver altid to faktor godkendelse, især på mail, cloud-tjenester og økonomisystemer. Dette tilføjer et ekstra lag, så uvedkommende ikke får adgang ved bare at kende din adgangskode.
• Tjek jævnligt dine konti for mistænkelige aktiviteter. Hvis du ser ukendte logins eller ændringer, skal du straks reagere.
• Brug en password manager. Med en password manager kan du opbevare komplekse adgangskoder sikkert og nemt logge ind uden at skulle huske dem alle. Det gør det også let at opdatere adgangskoder og undgå genbrug.
• Del aldrig login-oplysninger, heller ikke med kolleger. Opret i stedet personlige brugere med særskilte rettigheder, så det altid er tydeligt, hvem der har gjort hvad.

Selv små justeringer i dagligdagen kan gøre en stor forskel for beskyttelsen af dine personlige og virksomhedens data. Vores klare råd er at opprioritere sikkerhedsvaner nu, fremfor først at handle, når skaden er sket. Det giver langt mindre stress og sparer både tid og penge i det lange løb. Hvis du vil dykke endnu dybere, kan du finde flere konkrete guides under vores side om IT-sikkerhed.

Kilder:
IBM – Cost of a Data Breach Report 2023