Tofaktorautentisering: hva det er, hvilken metode du bør velge, og slik slår du det på

NorSIS kaller totrinnspålogging en dobbel lås: Passordet åpner den første låsen, og en engangskode eller en annen bekreftelse åpner den andre. Den som har stjålet passordet ditt, kommer dermed ikke inn uten også å ha det andre trinnet. Faktorene deles gjerne inn i noe du vet (passord eller PIN-kode), noe du har (telefonen eller en kodebrikke) og noe du er (fingeravtrykk eller ansikt), forklarer NSM. Ifølge sikkert.no starter de fleste datainnbrudd med stjålne passord.

Navnene varierer: NorSIS bruker totrinnspålogging, Google totrinnsbekreftelse, Apple tofaktorautentisering, Microsoft totrinnskontroll, og NSM og sikkert.no flerfaktorautentisering (MFA). Prinsippet er det samme. Likevel oppgir 41 prosent at de ikke bruker totrinnspålogging der det er mulig, ifølge NorSIS i NSMs undersøkelse Nordmenn og digital sikkerhetskultur 2026.

Du bruker det allerede: nettbank, BankID og MinID

Nettbankene krever totrinnspålogging hver gang du logger inn, påpeker NorSIS. MinID er også en tofaktorløsning: et selvvalgt passord pluss en engangskode på SMS eller et pushvarsel i MinID-appen. Mistenker du misbruk, kan du se innloggingsloggen på profilsiden din og sperre MinID selv. Med BankID gjelder én regel: Godkjenn aldri en innlogging du ikke har startet selv – avslå med «Nei, det er ikke meg». Det er trygt å identifisere deg med BankID overfor et kundesenter når du selv har tatt kontakt, for eksempel med funksjonen Sikker samtale.

Metodene, fra svakest til sterkest

• Kode på SMS: utbredt og enkelt, men Google advarer om at koder på SMS eller anrop kan være sårbare for hacking basert på telefonnumre. Nkom beskriver mobilkapring, der noen oppretter eller porterer et abonnement i ditt navn og kan få tilgang til tofaktorautentiseringen din. Microsoft vil fase ut SMS som metode for personlige kontoer.
• Autentiseringsapp, som Google Autentisering eller Microsoft Authenticator: lager engangskoder, også uten nett eller mobildekning. Både NorSIS og sikkert.no anbefaler app fremfor SMS.
• Forespørsler fra Google: Du trykker Ja eller Nei i et varsel på telefonen. Google anbefaler dette fremfor koder fordi det også kan beskytte mot SIM-bytte.
• Passnøkler – Apple kaller dem tilgangsnøkler: kryptografiske nøkler på enheten, som du låser opp med ansikt, fingeravtrykk eller PIN-kode. NSM anbefaler virksomheter å gå over til passnøkler fordi angripere i økende grad kommer seg forbi tradisjonell flerfaktorautentisering, og fordi passnøkler verken kan stjeles eller lures fra deg.
• Fysisk sikkerhetsnøkkel, ofte basert på standarden FIDO2: en liten enhet du kobler til PC-en eller telefonen. NorSIS regner slike nøkler som den sikreste metoden, og Google kaller sikkerhetsnøkler det sikreste bekreftelsestrinnet.

Hvorfor det andre trinnet ikke er vanntett

Ikke alle typer flerfaktorautentisering er like sikre, skriver NSM. På samme måte som en angriper kan lure til seg et passord, kan hen lure til seg engangskoder eller få deg til å godta pushvarsler du ikke har satt i gang selv. Derfor anbefaler NSM løsninger som tåler sosial manipulering. Apple beskriver tilgangsnøkler som motstandsdyktige mot phishing og laget slik at ingen hemmelighet deles med nettstedet; de synkroniseres med iCloud-nøkkelring, som krever tofaktorautentisering på Apple-kontoen.

Slik slår du det på

• Apple-konto: Innstillinger > [navnet ditt] > Pålogging og sikkerhet, og slå på tofaktorautentisering. De fleste kontoer har det allerede. Koden er sekssifret og vises på de godkjente enhetene dine eller sendes til det godkjente telefonnummeret. Har du nettopp slått det på, kan du gå tilbake innen to uker.
• Google-konto: Åpne Google-kontoen, trykk på Sikkerhet og pålogging, og velg Slå på totrinnsbekreftelse under «Sånn logger du på Google». Et nytt telefonnummer kan ta opptil 7 dager før Google har klarert det.
• Microsoft-konto: Gå til account.microsoft.com/security, velg Administrer hvordan jeg logger på, og velg Aktiver under Ekstra sikkerhet og Totrinnskontroll.
• Sosiale medier og andre tjenester: Som regel slår du det på under innstillingene i tjenesten, der du også velger metode, skriver NorSIS. Sikkert.no anbefaler å starte med e-posten og deretter alle nettkontoer som støtter det.

Slik unngår du å låse deg ute

• Legg inn mer enn én metode. Mister du den eneste kontaktmetoden, holder ikke passordet alene, og det kan ta 30 dager å komme inn igjen, advarer Microsoft, som anbefaler tre typer sikkerhetsinformasjon på kontoen.
• Skriv ut eller last ned Googles åttesifrede reservekoder og oppbevar dem et trygt sted; de hjelper hvis du mister telefonen.
• Merk av for «Ikke spør igjen på denne enheten» bare på enheter du bruker regelmessig og ikke deler med andre.
• Del aldri en kode. Google ringer ikke for å bekrefte koder, og Apple ber aldri om tofaktorkoden din eller om at du slår av sikkerhetsfunksjoner.
• Godta bare forespørsler om totrinnspålogging som du selv har startet, råder NorSIS.

Slå på det andre trinnet på e-posten i dag. Da er ikke et stjålet passord nok alene.