Yvonne Thomsen
Det tar fem minutter å sette opp, og stopper ifølge Microsoft over 99,9 prosent av automatiske angrep.
E-postkontoen er den viktigste kontoen i ditt digitale liv, fordi den kan nullstille passordet til stort sett alt annet du bruker på nett: nettbank, Facebook, Instagram, abonnementer og i prinsippet også din MinID-pålogging hos tjenester som sender bekreftelser til e-posten. Kommer en svindler inn i e-posten, kan vedkommende én etter én ta de andre kontoene.
Microsoft anslo allerede i august 2019 at totrinnsbekreftelse (ofte kalt 2FA eller MFA) blokkerer over 99,9 prosent av de automatiske angrepene, hvor hackere forsøker å logge inn med stjålne eller gjettede passord.
Google har siden offentliggjort egne tall: Da selskapet tvangspåmeldte 150 millioner kontoer til totrinnspålogging i 2021, falt antallet kompromitterte kontoer med 50 prosent.
Slik slår du det på fem minutter
Gmail og Google-konto: Åpne din Google-konto på myaccount.google.com, velg «Sikkerhet» i menyen, og velg «Verifisering i to trinn». Google tilbyr flere metoder, inkludert godkjenningsapp, maskinvarenøkkel, Google-ledetekster og SMS-koder, og lar deg velge en primær og en reserve.
Outlook og Hotmail (Microsoft-konto): Logg inn på account.microsoft.com/security, velg «Administrer hvordan jeg logger inn», og slå «Verifisering i to trinn» på. Microsoft anbefaler at du har minst tre sikkerhetsopplysninger på kontoen, slik at du ikke risikerer å bli låst ute. Skann QR-koden med Microsoft Authenticator på telefonen, og du er klar.
Apple-ID (iCloud-e-post): Gå til Innstillinger på iPhone eller iPad, trykk på navnet ditt, deretter «Pålogging og sikkerhet», og velg «Slå på totrinnsgodkjenning». På Mac finnes samme meny under Systeminnstillinger. Når det er aktivert, sender Apple en kode til dine andre betrodde Apple-enheter hver gang noen logger inn fra et nytt sted.
Husk å generere og lagre engangs-reservekodene de tre tjenestene tilbyr, et sikkert sted, for eksempel i en passordbehandler eller en fysisk konvolutt. Du trenger dem hvis du mister tilgangen til telefonen din.
Velg en app, ikke en SMS
SMS-koder er bedre enn ingenting, men de er den svakeste av metodene. Det amerikanske cybersikkerhetsbyrået CISA skrev i sin veiledning om mobil kommunikasjon fra desember 2024 direkte at man ikke bør bruke SMS som annet trinn ved pålogging, fordi SMS-ene ikke er krypterte og kan fanges opp av en angriper som har tilgang til teleoperatørens nettverk. I tillegg kommer såkalt SIM-swap, hvor svindlere får en operatør til å flytte nummeret ditt over på deres eget SIM-kort og dermed også dine SMS-koder.
En godkjenningsapp som Google Authenticator, Microsoft Authenticator eller Authy genererer i stedet en seks-sifret kode direkte på telefonen din, som skifter hvert 30. sekund. Koden forlater aldri enheten, så den kan verken fanges opp underveis eller sendes til et kapret telefonnummer. Velger du en app, slipper du også å vente på en SMS hvis du står i utlandet uten signal.
Neste nivå er en såkalt passnøkkel eller en fysisk sikkerhetsnøkkel som en Yubikey. En passnøkkel knytter pålogging til telefonen eller datamaskinen din, og en sikkerhetsnøkkel krever at noen fysisk sitter med nøkkelen i hånden, noe som også stenger ned for de fleste phishing-forsøk.
