Én feil kan åpne døra for hackerne – derfor bør bedrifter tenke Passkeys

La meg starte med et tenkt scenario. Dette har ikke skjedd – men det kunne like gjerne ha gjort det, og det kan skje hvem som helst.

Tenk deg at du nettopp har satt deg med kaffekoppen. Morgenmøtet venter. Så plinger mobilen: en SMS, tilsynelatende fra banken. «Vi har oppdaget uregelmessig aktivitet. Klikk her for å logge inn og bekrefte.»

Du er stresset, kanskje litt uoppmerksom, og taster raskt inn brukernavn og passord. Nettsiden ser helt ekte ut. Du tenker at du kan sjekke mer senere – møtet kan ikke vente.

En uskyldig handling – men i en jobbkontekst kunne det hatt katastrofale konsekvenser for hele bedriften.

Vi har lært at sterke passord og tofaktor er svaret. Men angriperne har for lengst lært å omgå begge deler. Phishing, smishing og mer sofistikerte svindler utnytter stress, rutiner og menneskelige feil.

I podkasten vår "Snakk om sikkerhet" sier ekspertene det rett ut:

«Med passkeys blir phishing irrelevant – det finnes ikke lenger noe passord å stjele.»

Det er dette som er selve kjernen. Når du ikke lenger har et passord å oppgi, forsvinner hele grunnlaget for de fleste svindelmetodene. Den sensitive informasjonen som svindlerne hele tiden jakter på har gått opp i røyk.

Se for deg en kollega i økonomiavdelingen. Hun får en e-post som tilsynelatende er fra IT, der hun blir bedt om å logge inn på «det nye sikkerhetsdashbordet». Hun stresser, alt haster, logger inn – og vipps så har angriperen fått tilgang til bedriftskontoen hennes.

Derfra kan de sende falske fakturaer, hente ut kundedata og ta seg videre inn i nettverket.

Med passkeys stopper det ved inngangsdøra. Hun har ikke noe passord å oppgi. Angriperens svindel blir verdiløs. De får ikke tak i informasjonen de trenger for å logge seg inn i bedriftens systemer.

En av våre sikkerhetseksperter peker på at passkeys kan være en game-changer for norske bedrifter:

– Mange virksomheter undervurderer hvor enkelt det er for angripere å få tak i passord. Selv sterke passord kombinert med tofaktor kan omgås. Passkeys gjør denne typen angrep dramatisk vanskeligere, samtidig som de faktisk gjør hverdagen enklere for ansatte.

Eksperten anbefaler bedrifter å ta konkrete skritt allerede nå:

1. Kartlegg hvilke systemer og tjenester som støtter passkeys.

2. Start pilotprosjekter i avdelinger med høy risiko eller mye kundedata.

3. Kombiner teknologi og kultur – opplæring er avgjørende, ansatte må forstå hvorfor dette er tryggere.

– Det viktigste er å starte. Passkeys blir raskt standard i store økosystemer. De bedriftene som venter, risikerer å bli stående med den svakeste løsningen når angrepene treffer, sier eksperten.

Selv om passkeys er et stort steg fremover, finnes det også diskusjoner om hvordan angripere kan forsøke å utnytte nye angrepsflater. I podden #7 – Slik kan angripere lure seg rundt passkey-autentisering pekes det på scenarier der angripere kan bruke blant annet QR-koder eller lure brukere inn i manipulerte autentiseringsflyter.

«Slik kan angripere lure seg rundt passkey-autentisering …»

Poenget er ikke at passkeys er usikre – men at bedrifter må kombinere teknologien med bevissthet, gode rutiner og riktig implementasjon.

Også Nasjonal sikkerhetsmyndighet (NSM) er tydelige i sine råd. I et varsel fra Nasjonalt cybersikkerhetssenter anbefaler de norske virksomheter å gå bort fra tradisjonelle passord- og kodebaserte løsninger, og over til phishing-resistent autentisering.

Dette innebærer metoder der brukerne ikke kan lures til å oppgi påloggingsinformasjon – nettopp slik som passkeys. Når sikkerhetsmyndighetene selv anbefaler en overgang, understreker det at dette ikke lenger bare er et teknologisk «fremtidstema», men et pågående sikkerhetskrav alle norske virksomheter bør ta på alvor.

Hva er en passkey?
En passkey er en sikker erstatning for passord. Den bruker et digitalt nøkkelpar mellom brukeren og tjenesten, og autentiseres med fingeravtrykk, biometri eller PIN.

Hvorfor bør bedrifter ta i bruk passkeys?
Passkeys gjør phishing-angrep irrelevante, reduserer risikoen for datainnbrudd og sparer tid og kostnader på IT-support.

Hvordan fungerer passkeys i praksis?
Når du logger inn, bekrefter du deg selv med finger eller biometri. Den private nøkkelen forlater aldri enheten, og det er dermed ingenting angripere kan stjele.

Hvordan kan en bedrift komme i gang?
Start med å kartlegge hvilke systemer som støtter passkeys, gjennomfør et pilotprosjekt i en avdeling med høy risiko, og gi opplæring til ansatte.