Hvorfor er en adgangskode ikke nok?
Adgangskoder lækkes, genbruges og franarres. Milliarder af loginoplysninger fra tidligere datalæk handles frit, og phishing er designet til at høste flere. Når samme kode oven i købet bruges flere steder, åbner ét læk mange døre. MFA bryder kæden: Selv med den rigtige kode mangler angriberen den anden faktor.
Det er også derfor, MFA optræder som krav i stort set alle leverandørspørgeskemaer, cyberforsikringer og NIS2-relaterede kontrolkataloger — det er billigt, veldokumenteret og effektivt.
Hvilke typer MFA findes der — og hvad er bedst?
Ikke alle faktorer er lige stærke. Fra svagest til stærkest:
- SMS-koder: Bedre end ingenting, men sårbare over for SIM-swapping og aflytning. Brug kun, hvor intet andet tilbydes.
- Autenticator-apps (TOTP): Tidsbaserede engangskoder fra en app. Et solidt mellemniveau — men koden kan stadig phishes på en falsk loginside.
- Push-godkendelse: Bekvemt, men sårbart over for MFA-træthed (se FAQ). Nummermatching, hvor man indtaster et tal fra loginskærmen, reducerer risikoen.
- FIDO2/passkeys og hardwarenøgler: Kryptografisk binding til det rigtige domæne gør dem phishing-resistente — en falsk loginside kan ikke høste noget. Guldstandarden, især til administratorer og økonomifunktioner.
Hvor skal MFA slås til først?
Prioritér efter konsekvens ved kompromittering:
- Alt internetvendt: Mail (Microsoft 365/Google Workspace), VPN og fjernadgang — de hyppigste indgange til både ransomware og CEO-fraud.
- Administratorkonti: Globale admins, domæneadgang, hostingpaneler og DNS. Her bør faktoren være phishing-resistent.
- Økonomi- og lønsystemer samt netbank.
- Resten af organisationen — gerne med passkeys, der samtidig er nemmere i hverdagen end koder.
Husk også at lukke bagdørene: Legacy-protokoller (fx IMAP/POP med basic auth) kan omgå MFA helt og skal deaktiveres.
Hvad er begrænsningerne ved MFA?
MFA er ikke usårligt. Angribere bruger realtids-phishingproxyer, der videresender både kode og engangskode (adversary-in-the-middle), stjæler session-cookies efter et gennemført login, eller bombarderer brugere med push-anmodninger, til nogen trykker godkend. Konsekvensen er ikke at droppe MFA, men at vælge phishing-resistente faktorer til de vigtigste konti, overvåge unormale logins — og kombinere MFA med adgangsstyring og detektion.