Datoer og indstillinger er tjekket hos Microsoft den 20. oktober 2026.
De fleste virksomheder har i dag multifaktor på deres Microsoft 365. Når man logger ind på en ny computer, skal man også godkende på telefonen. Det har gjort en stor forskel, for et kodeord, der er sluppet ud, er ikke længere nok til at komme ind i nogens mail.
Derfor går angriberne nu efter det andet trin, godkendelsen på telefonen. Det sker typisk på tre måder, som vi gennemgår her.
Der er også en praktisk grund til at se på det nu. Microsoft er i gang med at skifte sms-koderne ud med adgangsnøgler, og fra 1. februar 2027 sender Microsoft ikke længere selv sms- og opkaldskoder ud.
Hvad multifaktor beskytter mod
Idéen bag multifaktor er, at det ikke er nok at kende kodeordet. Man skal også have telefonen. Det holder stadig, så længe det kun er medarbejderen, der har adgang til det andet trin. De tre metoder herunder går alle ud på at få fat i det alligevel.
Sådan bliver multifaktor omgået
Når nogen ringer og beder om tallet
Tidligere kunne en angriber sende den ene godkendelse efter den anden til en medarbejders telefon, gerne sent om aftenen, indtil nogen trykkede ja for at få fred.
Siden 2023 har Microsoft Authenticator bedt om et tal, der står på skærmen, hvor man logger ind, så man ikke bare kan trykke ja. Det har gjort den metode meget sværere, for den, der ikke sidder ved skærmen, kender ikke tallet.
Derfor ringer angriberne i stedet. En venlig stemme siger, at de er fra IT og er ved at flytte kontoen, og spørger, om man ikke lige kan læse det tal op, der kommer på telefonen om lidt. Det samme virker med en sekscifret kode fra en sms eller en app. Det er nemt at sige ja til, når det lyder som en kollega, der prøver at hjælpe.
Når loginsiden er falsk
Den metode, der bruges mest lige nu, kan man næsten ikke se, mens den sker. Medarbejderen får en mail om et delt dokument, klikker på linket og kommer til en side, der ligner Microsofts login. Kodeordet bliver skrevet, telefonen godkender, og alt ser ud, som det plejer.
Den falske side sendte alt, hvad medarbejderen skrev, videre til Microsofts rigtige side, så login lykkedes, og telefonen bad om godkendelse som normalt. Når et login er godkendt, sender Microsoft en slags adgangskort tilbage, som browseren bruger til at huske, at man er logget ind. Det kort tog den falske side en kopi af, og med det kan angriberen åbne mailen fra sin egen computer, uden kodeord og uden at blive spurgt på telefonen igen.
Her hjælper tallet på skærmen ikke, for medarbejderen har godkendt sit eget login, bare gennem en side, der ikke var Microsofts. Flere af de mails, vi skrev om tidligere på måneden, handlede netop om et dokument, nogen havde delt.
Når telefonnummeret bliver overtaget
Den tredje metode går gennem teleselskabet. Angriberen udgiver sig for at være medarbejderen og får nummeret flyttet over på et nyt simkort. Derefter kommer alle sms’er og opkald til angriberen, også koderne fra Microsoft. Medarbejderen opdager det som regel først, når telefonen pludselig mister forbindelsen.
Sådan virker en adgangsnøgle
Sms, opkald, koder fra en app og godkendelse i Authenticator har det til fælles, at de kan narres af en falsk loginside eller blive læst op i telefonen. Adgangsnøgler er bygget, så det ikke kan lade sig gøre.
En adgangsnøgle ligger på medarbejderens egen telefon eller computer og bliver låst op med ansigt, fingeraftryk eller pinkode, på samme måde som telefonen. Den virker kun på Microsofts rigtige side, så en falsk side får ikke noget ud af den. Og der er ingen kode, man kan komme til at læse op.
Sms er den svageste af metoderne, fordi den kan rammes af alle tre. Det er også den, Microsoft nu er ved at udfase.
Det ændrer Microsoft til februar
Fra 1. september 2026 er adgangsnøgler blevet standard i Microsoft 365. Medarbejdere, der bruger sms eller opkald i dag, bliver bedt om at oprette en adgangsnøgle, næste gang de logger ind. Microsoft ruller det ud lidt ad gangen, så det er ikke sikkert, at I har set det endnu.
Fra 1. februar 2027 sender Microsoft ikke længere selv sms- og opkaldskoder. Vil man blive ved med at bruge dem, kræver det en aftale med et teleselskab, som man selv betaler for. Medarbejdere, der kun har sms eller opkald sat op, kan derefter ikke logge ind, før de har oprettet en adgangsnøgle.
Adgangsnøgler koster ikke noget ekstra. Det tager lidt tid at få alle med, og den tid er rarere at planlægge selv end at bruge på telefonen med medarbejdere, der er låst ude i starten af februar.
Tre indstillinger, der er værd at se på
Menuerne hos Microsoft bliver flyttet rundt med jævne mellemrum, så vi skriver både, hvad indstillingen gør, og hvor den lå, da vi tjekkede.
- Hvem bruger sms?
- Microsoft Entra har en oversigt over, hvilke metoder hver medarbejder har sat op. Den ligger under Godkendelsesmetoder → Brugerregistreringsdetaljer (på engelsk Authentication methods → User registration details). Kig efter dem, der kun har sms eller opkald. Det er dem, der bliver låst ude 1. februar, hvis intet sker. Det tager omkring ti minutter.
- Adgangsnøgler til alle
- Samme sted kan adgangsnøgler slås til for alle, og Microsoft kan bede medarbejderne om at oprette en, næste gang de logger ind. De fleste kan gemme den i Authenticator-appen på den telefon, de allerede har. Det tager omkring fem minutter pr. medarbejder, og der kommer nok et par spørgsmål fra dem, der har skiftet telefon. Det svære er medarbejdere uden firmatelefon. Til dem kan en lille sikkerhedsnøgle til USB være løsningen, fx en YubiKey til få hundrede kroner.
- Kun firmaets egne enheder
- Med betinget adgang (Conditional Access) kan I bestemme, at mail og filer kun kan åbnes fra de computere og telefoner, I selv administrerer. Så kan et stjålet login ikke bruges fra angriberens computer. Det kræver Microsoft 365 Business Premium, og at enhederne er sat op i Intune. Det er også den af de tre, der mærkes mest i hverdagen: Mail på privattelefonen og hjemmecomputeren holder op med at virke, medmindre I laver en undtagelse. Det er en beslutning, der er god at træffe sammen med ledelsen.
Hvor vi ville starte
Har I Business Basic eller Standard, kommer I langt med de to første. Koderne, der kan læses op, forsvinder, og en falsk loginside kan ikke bruge en adgangsnøgle til noget.
Har I Business Premium, er det tredje punkt værd at overveje bagefter. Det beskytter også de medarbejdere, der ikke har fået oprettet en adgangsnøgle endnu.
Og så er der én ting, der ikke kræver nogen indstilling: at fortælle medarbejderne, at IT aldrig ringer og beder om et tal eller en kode. Hvis nogen gør, er det værd at lægge på og ringe tilbage på det nummer, man kender.
