Tvåfaktorsautentisering har länge ansetts vara en enkel och säker åtgärd för att skydda vår digitala identitet och inloggningsuppgifter online. Men metoderna för att komma runt tvåfaktorsautentisering har nu blivit så pass sofistikerade och utbredda bland cyberkriminella att de flesta metoder för tvåfaktorsautentisering inte längre anses vara säkra.

I Sverige har cyberhotet fortsatt att öka. Fortfarande är svensk infrastruktur, banker och myndigheter primära måltavlor för attacker, men även privatpersoner måste skydda sig bättre mot attacker i vinstdrivande syfte. Enligt David Warburton, chef för F5s avdelning för forskning om cyberhot på F5 Labs, har cybersäkerhetsexperter världen över sett att tvåfaktorsautentisering passerat sitt bäst föredatum.

– När vi studerat cyberkriminellas diskussioner på dark web ser vi att dialogerna kring tvåfaktorsautentisering har mognat och ökat i komplexitet. Det finns numera många detaljerade diskussioner om hur man kommer runt tvåfaktorsautentisering, vare sig det rör sig en specifik bank, tredjepartslösning, mjukvara eller verktyg. Så kallade reverse-proxy phishing-attacker ansågs tidigare vara komplicerade specialattacker, men i dag har det blivit en standard för att försöka hacka sig in på någons konto. Det gör att cybersäkerhetsexperter världen över drar slutsatsen att tvåfaktorsautentisering inte längre är säkert, säger David Warburton.

Viss tvåfaktorsautentisering är mer säker än andra Enligt David Warburton är det skillnad på olika typer av tvåfaktorsautentisering och vissa lösningar anses fortfarande vara säkra – och andra som man ska undvika helt.

Bland de säkra lösningarna är de som använder sig av publik nyckelkryptering, till exempel WebAuthn-protokoll, som känner av vilken enhet som lösenordet verifieras från. Det kan exempelvis ske via ansiktsigenkänning eller fingeravtryck på mobilen, lösennycklar utan token samt lösenordsnycklar via hårdvara som Yubikey.

– Undvik verifieringar där koden skickas via enkel text över internet, sms eller e-post. Dessa typer av tvåfaktorautentiseringar är numera enkla att ta sig igenom via automatiserade kontoövertaganden, real-time phishing proxy-attacker eller simkortsövertagande, berättar David Warburton.

Ökat säkerhetshot i Sverige – detta bör svenska företag och privatpersoner göra

Jesper Lundin, regionchef för Benelux och Norden, menar att vi bör förvänta oss en ökning av två typer av attacker i Sverige. Dels kan vi förvänta oss att ryska aktörer attackerar svensk infrastruktur för att destabilisera Sverige. Men minst lika mycket, om inte mer, kan vi förvänta oss att attacker i vinstdrivande syfte kommer att öka.

– Ryssland befinner sig inte i direkt krig med vare sig Sverige eller USA, men på grund av internationella sanktioner mot Ryssland så har vi i USA sett ett finansiellt krig där antalet vinstdrivande attacker ökat. Vi kan förvänta oss att det också kommer att öka i Sverige där både företag och privatpersoner kan vara måltavlor. Ibland kan det vara lättare att lura tusen Stockholm den 17 oktober 2024 medelinkomsttagare på pengar, än ett enda företag eller en rik person. Därför är vi alla påverkade av det ökade hotet. Även om privatpersoner inte ska behöva tänka på detta, utan det bör vara företagens ansvar att skydda sina miljöer, rekommenderar jag alla att se över sin personliga cybersäkerhet, uppmanar Jesper Lundin.

Tvåfaktorsautentisering:

Så kan du uppdatera ditt skydd:

1. Första regeln är alltid att undvika att återanvända lösenord – då begränsar du skadan om en hackare lyckats ta sig in i ett konto

2. Använd lösenordshanterare – även om dessa också kan bli hackade, så är säkerheten bättre än att återanvända eller ha dålig