Til virksomheder Til privatpersoner
Know-how / Adgangskodesikkerhed

Identiske adgangskoder: Risikoen ved genbrug af adgangskoder

Ét login kompromitteret – alle adgange i fare.

IT-administratorer bærer hovedansvaret for at beskytte systemer og data. En særlig vedholdende risiko er identiske eller genbrugte adgangskoder. Dermed åbner brugerne – ofte utilsigtet – døren på vid gab for angribere til credential stuffing, kontoovertagelser og laterale bevægelser i netværket. Undersøgelser viser, at brug af stjålne legitimationsoplysninger er blandt de hyppigste initiale vektorer ved sikkerhedshændelser (se kilder nedenfor).

  • Brug aldrig den samme adgangskode til forskellige konti.
  • Ingen tvungen, regelmæssig ændring af adgangskoder uden konkret anledning – brug i stedet lange, unikke adgangskoder/adgangssætninger og MFA/passkeys.
  • Nye og eksisterende adgangskoder kontrollér mod kompromitterede lister; i Password Depot: Ekstra → Sikkerhedstjek → Kontrollér i Pwned‑adgangskoder.

Risiko for kompromittering på tværs af tjenester

Hvis en konto kompromitteres, tester angribere automatisk de samme legitimationsoplysninger på andre tjenester (Credential‑Stuffing). Et enkelt datalæk kan dermed udvikle sig til en kædereaktion – fra e‑mail over samarbejdsværktøjer til Cloud‑tjenester. Resultatet: datatyveri, identitetsmisbrug og uautoriseret adgang til virksomhedsressourcer.

Særligt kritiske er “Basic Web Application Attacks”, hvor stjålne eller genbrugte legitimationsoplysninger dominerer – et klart tegn på, at genbrug af adgangskoder i praksis kan udnyttes direkte (se kilder).

Ransomware & kontoovertagelser

Når angribere først har gyldige legitimationsoplysninger, kan de udvide privilegier, bevæge sig lateralt i netværket og udrulle malware – helt frem til udrulning af ransomware. Officielle anbefalinger understreger derfor: Eliminér genbrug af adgangskoder og phishing-resistent MFA (f.eks. FIDO2/passkeys) dér, hvor det er teknisk muligt (CISA, NIST).

Tiltag til forbedring af adgangskodesikkerheden

Retningslinjer (policy)

  • Ingen forebyggende, regelmæssige ændringer af adgangskoder – håndhæv kun ved mistanke om eller dokumentation for kompromittering (NIST, NCSC).
  • Ét password pr. konto/tjeneste – forbyd genbrug konsekvent (NIST, NCSC).
  • Øg minimumslængden (f.eks. ≥ 14 tegn) og undgå unødvendige kompleksitetskrav; fokusér i stedet på længde, unikhed og blokering af „almindeligt udbredte adgangskoder" (NIST).
  • Kontrollér adgangskoder mod kompromitterede lister (NIST SP 800–63B) – se praksisvejledningen til Password Depot nedenfor.
  • Gør MFA obligatorisk, helst phishing-resistent (FIDO2/Passkeys), som minimum for admin-, fjern- og Cloud-adgange (CISA).

Tekniske kontroller

  • Rate-Limiting & Monitoring ved logins; identificér og blokér mistænkelige mønstre (f.eks. mange login-forsøg fra distribuerede netværk) (NIST).
  • Tillad „paste“/indsæt, så password-managers kan bruges sikkert – intet copy/paste-forbud i passwordfeltet (NIST).
  • Risikobaserede MFA-challenges og konsekvent MFA-registrering (CISA).
  • Passkeys bør indføres, hvor det er muligt; erstat password-input på sigt.
  • Identificér kompromitterede adgangskoder: I Password Depot via Extras → Sikkerhedstjek → Kontrollér i Pwned-passwords og ændr berørte poster med det samme.

Praksis med Password Depot:

  • Åbn Ekstra → Sikkerhedstjek → Kontrollér i Pwned-adgangskoder, for at kontrollere gemte adgangskoder op imod kompromitterede lister.
  • Udfør dette tjek regelmæssigt – især efter offentlige datalæk eller phishing-hændelser.
  • Udskift markerede adgangskoder med det samme med lange, unikke adgangsfraser og aktivér, hvor det er muligt, MFA/passkeys.

Awareness og drift

  • Uddan regelmæssigt brugere i Credential Stuffing, phishing og genbrug af adgangskoder (NCSC/CISA).
  • password manager anbefales og stilles til rådighed; målet er lange, tilfældige og unikke adgangskoder pr. tjeneste.
  • Definér hændelser (læk, phishing, malware-infektioner) som udløsere for øjeblikkelig ændring af adgangskode og fornyelse af tokens (NIST/CISA).

Kort fortalt: Genbrug er den egentlige fjende. Tvungne, regelmæssige ændringer uden anledning forringer kvaliteten af adgangskoderne – og løser ikke problemet. Sats på længde, unikhed, MFA/passkeys og kontrol op imod kompromitterede lister (f.eks. direkte i Password Depot).

Konklusion: Gentagen brug af adgangskoder er en betydelig sikkerhedsrisiko og øger risikoen for konto-overtagelser og helt op til ransomware-hændelser. Admin-teams skal implementere klare, opdaterede retningslinjer og sikre dem teknisk – inklusive regelmæssig kontrol af kompromitterede adgangskoder med Password Depot – for at beskytte identiteter og systemer på lang sigt.

Kilder (udvalg)

Hold adgangskoder unikke

Få mere at vide om, hvordan Password Depot hjælper dig med at administrere hver adgangskode unikt og sikkert.

Tips til sikre adgangskoder