Sikkerhed

Brute force

Et angreb, hvor programmer automatisk afprøver mange adgangskoder eller lækkede logins, indtil et virker.

Også kaldt: brute force-angreb, gætteangreb, password-angreb, password spraying, credential stuffing

Kort svar

Brute force er et angreb, hvor angriberen bruger programmer til automatisk at afprøve mange kombinationer af brugernavne og adgangskoder, indtil én virker. I praksis bruges ofte lister med almindelige eller lækkede adgangskoder frem for tilfældige gæt. Korte og genbrugte adgangskoder falder hurtigst. Lange, unikke adgangskoder og MFA gør angrebet langt sværere – Styrelsen for Samfundssikkerhed skriver, at mange af disse angreb kan imødegås effektivt med ordentlig flerfaktorgodkendelse.

Tre former for gætteangreb

Styrelsen for Samfundssikkerhed (SAMSIK) beskriver i Cybertruslen mod Danmark 2025 brute force som en af de teknikker, angribere ofte bruger for at få adgang – bl.a. mod mailkonti, VPN og fjernadgang. Angrebet findes i flere varianter:

Variant	Hvad der afprøves	Hvad der især hjælper
Klassisk brute force	Mange kombinationer på én konto	Lange adgangskoder og udelåsning
Password spraying	Få almindelige koder på mange konti	Forbud mod svage koder og MFA
Credential stuffing	Lækkede logins fra andre tjenester	Unikke koder og MFA

Varianter af brute force

Eksempel: En medarbejder bruger samme adgangskode til en webshop og til sin arbejdsmail. Webshoppen bliver hacket, og listen med logins ender hos kriminelle. De afprøver automatisk kombinationen på Microsoft 365 – og kommer ind, fordi kontoen ikke har MFA. Det kaldes credential stuffing.

Hvorfor længde og unikhed betyder mest

Hver ekstra karakter i en adgangskode øger antallet af mulige kombinationer markant. Derfor er længde vigtigere end komplicerede tegn. En sætning af flere tilfældige ord er både lang og til at huske. Unikhed er lige så vigtigt: Selv en lang adgangskode hjælper ikke, hvis den allerede ligger i et datalæk fra en anden tjeneste. En adgangskodeadministrator gør det realistisk at have en unik kode til hver tjeneste.

Det, Microsoft 365 gør automatisk

Microsoft Entra ID, som Microsoft 365 bruger til login, har indbygget smart udelåsning (smart lockout), som altid er slået til. Som standard låses en konto midlertidigt efter 10 fejlede forsøg, først i ét minut og derefter længere ved gentagne fejl. Funktionen forsøger at skelne mellem den rigtige bruger og en angriber, så medarbejderen ikke låses ude af et angreb udefra. Tilpasning af grænserne kræver Entra ID P1.

Entra ID kan også markere brugere, hvis adgangskode er fundet i kendte datalæk. Udelåsning bremser angrebet, men stopper ikke en angriber, der har den rigtige adgangskode i første forsøg – det gør MFA.

Brute force og phishing – forskellen

Ved phishing narrer angriberen medarbejderen til selv at oplyse adgangskoden. Ved brute force prøver angriberen sig frem uden at nogen bliver narret. Forsvaret overlapper: MFA hjælper mod begge, mens lange, unikke koder især hjælper mod brute force, og opmærksomme medarbejdere især mod phishing.

Godt at vide: Systemer, der er tilgængelige direkte fra internettet med kun brugernavn og adgangskode – fx fjernskrivebord, ældre VPN eller en router-administration – er typiske mål. Sørg for, at de enten er lukket eller har MFA.

Spørgsmål I kan stille

Har alle konti MFA – også administratorkonti og fælles postkasser, der kan logge ind?
Er der systemer, der kan nås fra internettet med kun brugernavn og adgangskode?
Bruger medarbejderne en adgangskodeadministrator, så hver tjeneste har sin egen kode?
Får vi besked, hvis en medarbejders adgangskode dukker op i et datalæk?

Hvornår giver det mening at få hjælp?

Få hjælp, hvis I ser mange fejlede logins eller låste konti uden forklaring, eller hvis I ikke ved, om alle konti har MFA. Furesø Data kan gennemgå login-opsætningen i Microsoft 365.

Spørgsmål og svar

Hvor lang skal en adgangskode være?

Jo længere, jo bedre. En sætning af flere tilfældige ord er både lang og til at huske. CISA anbefaler fx mindst 15 tegn.

Skal vi skifte adgangskoder ofte?

Det vigtigste er, at koden er lang og unik. Skift den med det samme, hvis den kan være lækket eller er blevet brugt et sted, hvor den ikke burde.

Forbehold: Teksten er en generel forklaring. Ingen adgangskode eller loginmetode er helt sikker; standardværdier i Microsoft Entra ID kan ændres af Microsoft.

Kilder (tjekket 31. oktober 2026)

Relaterede ord

MFA Adgangskodeadministrator Passkey Phishing Entra ID

Tilbage til IT-ordbogen