Stærke kodeord og to-faktor derhjemme

De fleste familier har i dag flere konti, end de kan tælle: mail, netbank, webshops, sociale medier, streaming, skolens intra og billeder i skyen. Hver eneste af dem er beskyttet af et kodeord, og alt for ofte er det det samme kodeord, eller en lille variation af det, der går igen overalt. I oktober, som er den europæiske måned for cybersikkerhed, og i ugerne op til julehandlen og de mange pakker, har svindlerne travlt, og det er et godt tidspunkt at gå hjemmets digitale sikkerhed efter. Guiden gennemgår stærke kodeord, passwordmanagere og to-faktor, hvordan du passer på dit MitID, og hvad routeren, opdateringerne og de falske pakkebeskeder har med det hele at gøre.

Derfor er genbrugte kodeord farlige

Når en webshop, et forum eller en app bliver hacket, ender lister med e-mailadresser og kodeord ofte til salg på nettet. Svindlerne afprøver derefter de samme kombinationer automatisk på mail, sociale medier og andre webshops, og har du brugt det samme kodeord flere steder, kan én lækage hos en lille tjeneste, du har glemt alt om, give adgang til din mail og dine vigtigste konti. Det er derfor, rådet om aldrig at genbruge et kodeord er det vigtigste af dem alle, og det er langt mere værd end at gøre ét kodeord ekstra kompliceret.

Det samme gælder små variationer, hvor kodeordet blot får et nyt tal eller årstal i enden. Den slags mønstre er velkendte, og de programmer, svindlerne bruger, prøver dem af. Prioritér din e-mail, din netbank, de sociale medier og de webshops, hvor dit betalingskort er gemt, for de konti kan bruges til at nulstille, betale eller udgive dig for at være dig.

Stærke kodeord og kodesætninger

Længden betyder mere end mærkelige tegn, fordi hvert ekstra tegn ganger antallet af mulige kombinationer, som et program skal gennemgå. Myndighedernes vejledning på Sikker Digital anbefaler, at et stærkt kodeord er mindst 15 tegn og kun bruges ét sted, og at det ikke indeholder oplysninger, andre kan gætte, som navne på børn, kæledyr eller arbejdsplads, og aldrig dit cpr-nummer. Store og små bogstaver gør det stærkere, og tal eller specialtegn hjælper yderligere.

Den nemmeste måde at lave et langt kodeord, du kan huske, er en kodesætning. Tag fire eller fem ord, der ikke hører naturligt sammen, og sæt dem sammen med store forbogstaver og eventuelt et tal eller tegn imellem, fx noget i retning af Tekande7FlyverOverBlåMos. Det giver over 20 tegn, og det er langt lettere at huske end en kort række tilfældige tegn. Brug selvfølgelig ikke eksemplet her, og undgå kendte citater, sangtekster og ordsprog, som programmerne kender.

Type	Eksempel på opbygning	Vurdering
Kort og “kompliceret”	8 tegn med tal og tegn	Svært at huske og alligevel for kort
Ord plus årstal	Et navn og et årstal	Let at gætte, især hvis navnet står på dine sociale medier
Kodesætning	4–5 tilfældige ord, store forbogstaver og et tal	Stærk, når den er 15 tegn eller længere og kun bruges ét sted
Genereret af passwordmanager	20 tilfældige tegn	Meget stærk, og du skal ikke huske den selv

Del aldrig et kodeord med andre, heller ikke med nogen, du kender godt, for et kodeord giver adgang til at handle i dit navn. Skal flere i familien bruge den samme konto, fx en streamingtjeneste, er det bedre at bruge tjenestens egne funktioner til flere profiler eller dele den via en passwordmanager end at sende kodeordet i en sms.

Passwordmanageren husker for dig

Ingen kan huske 40 forskellige lange kodeord, og derfor er en passwordmanager den mest praktiske løsning. Den gemmer alle dine kodeord krypteret bag ét hovedkodeord, som du til gengæld skal gøre langt og stærkt, gerne som en kodesætning på fem eller seks ord. Programmet kan selv finde på nye, tilfældige kodeord, når du opretter en konto, og udfylde dem automatisk på de rigtige hjemmesider. Det sidste er i sig selv en beskyttelse, fordi en passwordmanager ikke udfylder dit kodeord på en falsk side, der blot ligner din bank eller din webshop.

• Indbygget eller selvstændig: telefonens og browserens indbyggede kodeordsfunktion er et godt første skridt, mens en selvstændig passwordmanager er mere praktisk, hvis familien bruger forskellige typer telefoner og computere.
• Deling i familien: mange passwordmanagere kan dele udvalgte kodeord, fx til wifi og streaming, med andre i husstanden.
• Tjek af lækager: de fleste kan advare dig, hvis et af dine kodeord er genbrugt, for svagt eller har optrådt i et kendt læk.
• Beskyt den med to-faktor: slå to-faktor til på selve passwordmanageren, for den er nøglen til alt det andet.

Begynd med de vigtigste konti, og skift kodeordet til et nyt, genereret kodeord, hver gang du alligevel logger ind et sted. Så er hele samlingen skiftet ud i løbet af nogle uger, uden at det bliver en stor opgave en søndag eftermiddag.

To-faktor: hvor og hvordan

To-faktor, som også kaldes to-trins-login, betyder, at du skal igennem to trin for at logge ind. Først skriver du dit kodeord, og derefter bekræfter du med noget, du har, typisk en kode på sms, en kode i en app eller en godkendelse på telefonen. Selv hvis en svindler kender dit kodeord, kommer han dermed ikke ind uden også at have din telefon. Som regel skal du kun bruge det ekstra trin, når du logger ind fra en ny telefon, browser eller computer, og prøver en anden at logge ind på din konto, får du en kode, du ikke har bedt om, hvilket i sig selv er en advarsel.

Metode	Sådan virker den	Godt at vide
Kode på sms	Du får en engangskode tilsendt	Langt bedre end ingenting og nem at komme i gang med
Godkendelsesapp	En app på telefonen viser en ny kode hvert halve minut	Virker uden mobilnetværk og er sværere at opsnappe end en sms
Godkendelse på telefonen	Du trykker godkend i tjenestens egen app	Læs altid, hvad du godkender, og afvis forespørgsler, du ikke selv har startet
Adgangsnøgle eller sikkerhedsnøgle	Login med telefonens fingeraftryk, ansigtsgenkendelse eller en lille fysisk nøgle	Meget sikkert mod falske sider, og mange store tjenester tilbyder det nu

Rækkefølgen, du kan slå det til i

1. Din e-mail, fordi den bruges til at nulstille kodeord på næsten alle andre konti.
2. Passwordmanageren og telefonens konto hos producenten, som giver adgang til backup, billeder og gemte kodeord.
3. Sociale medier, som svindlere gerne overtager for at skrive til dine venner og bede om penge.
4. Webshops og betalingstjenester, hvor dit kort er gemt.
5. Skytjenester med billeder og dokumenter.

Når du slår to-faktor til, giver mange tjenester dig en række reservekoder, som du kan bruge, hvis telefonen bliver væk. Skriv dem ud, og læg dem et sikkert sted sammen med andre vigtige papirer, så du ikke selv bliver låst ude. Hvordan du kan indrette sådan en mappe eller et lille pengeskab derhjemme, har vi skrevet om i guiden til vigtige papirer.

MitID er dit og kun dit

MitID er i sig selv et to-trins-login, og det er sikkert, fordi en svindler skal bruge flere dele for at komme ind. Derfor må du aldrig dele dit bruger-ID, din pinkode til MitID-appen, adgangskoden til en kodeviser, kodeoplæser eller chip eller de engangskoder, de viser, med nogen, heller ikke med familie og venner. Myndigheder, banker og forsikringsselskaber beder dig aldrig om de oplysninger på eget initiativ, hverken i en mail, en sms eller et telefonopkald. Dit bruger-ID må du kun oplyse, når du selv har kontaktet MitID’s support eller Cyberhotlinen.

En godkendelse i MitID svarer til en digital underskrift, og hver gang du bliver bedt om at godkende noget, står der, hvad du godkender. Læs teksten, og godkend kun det, du selv har sat i gang lige nu. Ringer en person fra “banken”, “politiet” eller “MitID” og beder dig godkende noget for at stoppe svindel eller beskytte dine penge, er det netop svindel. Læg røret på, og ring selv til banken på det nummer, du kender i forvejen, og ikke på et nummer, personen giver dig.

Får du en ny telefon, så slet MitID-appen fra den gamle, før den bliver solgt eller givet videre. Har du mistet en kodeviser eller telefonen med appen, skal du straks spærre det pågældende identifikationsmiddel, og har du godkendt noget, du ikke selv har sat i gang, eller givet oplysninger til en, du nu tror er svindler, kan du spærre hele dit MitID midlertidigt.

Routeren og hjemmets andre enheder

Routeren er døren mellem alle hjemmets enheder og internettet. Den har typisk to koder, én til selve wifi-netværket og én til routerens indstillinger, og fabrikkens koder er ofte de samme for alle routere af samme model eller kan findes på klistermærket. Skift begge til dine egne, slå kryptering til med WPA2 eller WPA3, og giv netværket et navn, der ikke afslører routerens mærke eller din udbyder. Har routeren et gæstenet, du ikke bruger, så slå det fra, og bruger du det, skal det have sin egen kode. Flere råd om placering, dækning og sikkerhed finder du i guiden til wifi i hele huset.

Det samme gælder de mange andre ting, der i dag er koblet på nettet, som overvågningskameraer, babyalarmer, printere, robotstøvsugere og smarte stikkontakter. Skift standardkoden ved opsætningen, og slet de apps og enheder, I ikke længere bruger, fra jeres konti. Får routeren ikke længere sikkerhedsopdateringer fra producenten, er det et godt tidspunkt at skifte den ud.

Opdateringer lukker hullerne

En stor del af de opdateringer, der dukker op på telefonen og computeren, lukker sikkerhedshuller, som svindlere ellers kan udnytte. De gør kun gavn, hvis de bliver installeret, og en opdatering, der udskydes til i morgen, bliver ofte glemt. Sæt derfor telefon, tablet, computer og apps til at opdatere automatisk, og tjek routerens indstillinger for automatiske opdateringer eller kig efter nye versioner en gang om måneden.

Husk også de enheder, der sjældent bliver brugt, som den gamle tablet i skuffen, spillekonsollen og computeren i sommerhuset, for de er ofte langt bagud, når de bliver tændt igen. Og tag jævnligt en sikkerhedskopi af billeder og dokumenter på en ekstern harddisk eller i skyen, så du ikke mister det hele, hvis en enhed bliver ramt af virus, stjålet eller går i stykker.

Pakke-sms’er og falske webshops op til jul

Når mange venter på pakker, er det fristende at trykke på en besked om, at en pakke er på vej, eller at der mangler et lille beløb i porto. Det er netop derfor, svindlerne bruger de situationer, og beskederne ligner ofte de ægte til forveksling. Afsenderens nummer kan endda være forfalsket, så en falsk besked kan dukke op i den samme tråd som tidligere, ægte beskeder fra fx et transportfirma eller din bank.

• Du bliver bedt om oplysninger: kortnummer, cpr-nummer, kodeord eller MitID i en besked er altid et tegn på svindel.
• Det haster: trusler om, at pakken bliver sendt retur, eller at et abonnement stopper inden for 24 timer, skal få dig til at handle uden at tænke.
• Mærkelige links: se efter stavefejl i adressen eller domæner, der kun næsten ligner det rigtige.
• Sproget: dårlige oversættelser og underlige formuleringer kan afsløre beskeden.
• Ukendt afsender: en besked fra et firma eller en bank, du ikke har noget med at gøre, er sandsynligvis falsk.

Den sikreste vane er aldrig at bruge linket i en besked, men selv at åbne transportfirmaets app, din bank eller den webshop, du har handlet i, og se, om der er noget, der venter. Falske webshops dukker også op i stort tal før jul og ligner ofte rigtige butikker, så tjek, at der står et firmanavn, et cvr-nummer og en fysisk adresse på siden, og vær ekstra skeptisk over for meget lave priser på eftertragtede varer. Betal helst med kort eller en betalingsløsning, der giver mulighed for at få pengene tilbage, og aldrig med en bankoverførsel til en ukendt modtager.

Hvis uheldet er ude

Har du trykket på et link, givet oplysninger fra dig eller godkendt noget, du ikke burde, er det vigtigste at reagere hurtigt. Jo før kortet, MitID og kodeordene er spærret eller skiftet, desto mindre kan svindlerne nå, og der er ingen grund til at skamme sig, for svindlerne er professionelle og rammer også meget forsigtige mennesker.

1. Ring til din bank, og få dit kort spærret, hvis du har givet kortoplysninger fra dig.
2. Spær dit MitID midlertidigt, hvis du har godkendt noget, du ikke selv har sat i gang, eller har givet dit bruger-ID eller dine koder til en anden.
3. Skift kodeordet på den konto, det drejer sig om, og på alle andre steder, hvor du har brugt det samme kodeord, og begynd med din e-mail.
4. Slå to-faktor til på de konti, der ikke allerede har det.
5. Anmeld svindlen til politiet, og gem beskeder, mails og skærmbilleder som dokumentation.

Er du i tvivl om, hvad du skal gøre, kan Cyberhotlinen under Sikker Digital give råd og vejledning om digital svindel og misbrug af din identitet og fortælle, hvilken myndighed du skal kontakte. Hotlinen behandler ikke selve sagen, men den kan hjælpe dig med at komme i gang med de rigtige skridt.

Ofte stillede spørgsmål

Hvor langt skal et kodeord være?

Mindst 15 tegn, og det skal kun bruges ét sted. En kodesætning af fire eller fem tilfældige ord bliver let så lang og er til at huske, mens en passwordmanager kan lave endnu længere kodeord, som du ikke selv skal kunne.

Er det sikkert at gemme kodeord i browseren?

Det er langt bedre end at genbruge det samme kodeord overalt. Beskyt computeren og telefonen med en kode eller fingeraftryk, og slå to-faktor til på den konto, kodeordene er gemt i, så de ikke kan hentes af andre.

Hvad gør jeg, hvis jeg mister telefonen med to-faktor?

Brug de reservekoder, du fik, da du slog to-faktor til, eller en anden enhed, du allerede er logget ind på. Har telefonen også MitID-appen, så spær den med det samme, og slet den gamle telefon fra dine konti, når du er inde igen.

Ringer banken nogensinde og beder mig godkende noget i MitID?

Nej, banker og myndigheder beder dig aldrig på eget initiativ om koder eller godkendelser i MitID, hverken i telefonen, på sms eller i en mail. Læg røret på, og ring selv til banken på det nummer, du kender, hvis du er i tvivl.

Digital sikkerhed i hjemmet kræver ingen teknisk uddannelse, men et par gode vaner: lange kodeord, der aldrig genbruges, to-faktor på de vigtigste konti, opdateringer, der kører af sig selv, og en sund skepsis over for beskeder, der haster. Brug en regnvejrsdag eller en mørk søndag i november på at få det på plads for hele familien, så er I godt rustet, når julens pakker og beskeder for alvor begynder at strømme ind.