Passwords er brudte. Ikke teknologien i sig selv, men idéen om at et password alene er nok til at beskytte en konto. Hvert år lækker hundredvis af millioner af brugernavn- og passwordkombinationer fra kompromitterede tjenester, og angribere køber disse lister og afprøver dem systematisk mod virksomheders systemer. Jeres password fra en tjeneste, I brugte for tre år siden, kan i dag give adgang til jeres e-mail, hvis I ikke har MFA aktiveret.

Hvad er MFA?

MFA står for multifaktor-autentificering (også kaldet to-faktor-autentificering eller 2FA). Princippet er enkelt: for at logge ind kræves det ikke bare, at I ved noget (jeres password), men også at I beviser jeres identitet på endnu en måde.

Tænk på det som en bankboks, der kræver både en nøgle og en pinkode. Stjæler nogen nøglen, kommer de stadig ikke ind uden pinkoden. Det samme gælder MFA: selv hvis en angriber har jeres password, kan de ikke logge ind uden adgang til den anden faktor.

Hvorfor er passwords alene ikke nok?

Problemet med passwords er ikke kun databrud. Det er også, at folk genbruger dem. Undersøgelser viser, at over 60 % af brugerne genbruger det samme password på tværs af tjenester. Det betyder, at et lækket password fra eksempelvis en webshop kan bruges til at tilgå jeres virksomheds e-mail eller cloud-løsning.

Derudover er phishing (som vi gennemgår i en anden artikel) ekstremt effektiv til at stjæle passwords. En medarbejder, der klikker på et falskt Microsoft-login, afleverer sit password til en angriber. Uden MFA er kontoen kompromitteret med det samme. Med MFA mangler angriberen stadig den anden faktor.

Ifølge Microsoft blokerer MFA over 99,9 % af automatiserede kontoangreb. Det er den enkleste og mest effektive sikkerhedsforanstaltning, I kan implementere i jeres virksomhed, og den er billig eller gratis med de fleste eksisterende abonnementer.

De tre typer MFA

SMS-kode

Den mest udbredte form. Når I logger ind, sendes en engangskode til jeres mobiltelefon via SMS. I taster koden som det andet trin. Det er bedre end ingenting, men SMS-MFA har svagheder: koder kan opsnappes via SIM-swap-angreb, og phishing-sider kan i realtid videresende koden til angriberen. Til de fleste SMV'er er SMS-MFA dog stadig et markant løft i sikkerhedsniveauet.

Authenticator-app

Apps som Microsoft Authenticator eller Google Authenticator genererer en ny sekscifret kode hvert 30. sekund direkte på telefonen, uden internetforbindelse. Koden er tidsbegrænset og genereres lokalt, hvilket gør den sværere at opsnappe end en SMS. Microsoft Authenticator understøtter desuden number matching, hvor I bekræfter et tal vist på loginskærmen i stedet for blot at trykke "Godkend". Det gør det sværere at godkende en MFA-anmodning ved en fejl.

Hardware-nøgle (FIDO2)

En fysisk USB- eller NFC-nøgle (fx YubiKey) er den stærkeste MFA-form. Den er immun over for phishing, fordi nøglen kun virker på det rigtige domæne. Bruges primært til administratorer og højrisikobrugere. Koster typisk 300–600 kr. pr. nøgle, men for kritiske konti er investeringen lille sammenlignet med risikoen.

MFA i Microsoft 365: trin for trin

Har I Microsoft 365 til jeres virksomhed, er MFA allerede inkluderet. Sådan aktiverer I det:

  1. Log ind på Microsoft 365 Admin Center (admin.microsoft.com) med en administratorkonto.
  2. Gå til Identitet → Oversigt → Sikkerhedsstandards og aktivér dem. Det aktiverer MFA for alle brugere automatisk.
  3. Alternativt, og mere fleksibelt, kan I oprette Conditional Access-politikker under Microsoft Entra ID (tidligere Azure AD), som giver mulighed for at kræve MFA ved specifikke betingelser, fx ved login uden for kontoret.
  4. Kommunikér til medarbejderne, at de ved næste login vil blive bedt om at oprette MFA. Send en kort vejledning, inden I aktiverer det.
  5. Sæt en deadline: alle konti skal have MFA aktiveret inden 14 dage. Håndhæv det teknisk, hvis nødvendigt.

Sådan ruller I MFA ud i en lille virksomhed

Den største modstand mod MFA er ikke teknisk. Den er menneskelig. Medarbejdere synes det er besværligt, og ledere er bekymrede for at det bremser arbejdsgangene. Sandheden er, at MFA tilføjer 5–10 sekunder til loginprocessen, og det er prisen for at fjerne en af de mest sandsynlige årsager til et databrud.

Praktiske råd til udrulningen:

  • Start med administratorkonti. De er det mest værdifulde mål. Gør det først.
  • Brug Microsoft Authenticator frem for SMS. Det er lidt mere sikkert og giver bedre brugeroplevelse med notifikationer.
  • Lav en enkel guide til medarbejderne, gerne med skærmbilleder, der viser dem, hvordan de sætter appen op på telefonen.
  • Planlæg support-kapacitet. De første to dage efter aktivering vil nogle have spørgsmål. Sørg for at IT er tilgængelig.
  • Aktivér MFA for e-mail, VPN og alle cloud-systemer. Det gælder ikke kun Microsoft 365. Se hvilke andre systemer jeres virksomhed bruger.

Hvad MFA ikke løser

MFA er ikke et skjold mod alt. Sofistikerede phishing-angreb (såkaldte adversary-in-the-middle-angreb) kan i realtid videresende både password og MFA-kode. Derfor er MFA bedst kombineret med andre foranstaltninger: opdateret software, sikker DNS-filtrering og medarbejdertræning. Men uden MFA er I unødigt sårbare over for de angreb, der sker tusindvis af gange om dagen, og som det ville have taget 30 minutter at beskytte sig imod.