MFA er slået til – er vi så sikre?
Totrinsbekræftelse er det vigtigste enkelttiltag for at beskytte jeres Microsoft 365-konti. Men angribere har tilpasset sig, og der er huller, som MFA alene ikke lukker.
MFA gør jer markant sværere at angribe, men I er ikke færdige, når den er slået til. Angribere kan presse medarbejdere til at godkende login, stjæle en allerede godkendt session, misbruge svage metoder som sms eller logge på via gamle protokoller, der slet ikke beder om MFA. Næste skridt er at blokere de gamle protokoller, styre adgang med Conditional Access og flytte mod phishing-resistente metoder som passkeys.
Kort fortalt
- MFA via app-godkendelse eller sms kan stadig omgås med phishing, pres eller stjålne sessioner.
- Gamle mailprotokoller (fx IMAP og POP) understøtter ikke MFA og skal blokeres.
- Microsoft udfaser sms og opkald som indbygget login-metode fra 1. februar 2027.
- Phishing-resistente metoder som passkeys og Windows Hello for Business er det stærkeste valg.
Hvad MFA faktisk beskytter mod
MFA betyder, at en stjålet adgangskode ikke er nok til at logge på. Det stopper den mest almindelige form for angreb: at nogen prøver lækkede eller gættede adgangskoder mod jeres konti. Microsoft skriver i sin dokumentation om standardsikkerhed (security defaults), at MFA og blokering af gamle loginprotokoller stopper langt de fleste af de almindelige identitetsangreb.
Men MFA beskytter selve login-øjeblikket. Den beskytter ikke mod, at en medarbejder bliver narret til at godkende, mod at en angriber overtager en session, der allerede er godkendt, eller mod login ad veje, hvor MFA aldrig bliver spurgt om.
Fire huller, MFA ikke lukker af sig selv
1. MFA-træthed (push bombing). Angriberen har adgangskoden og sender godkendelsesanmodninger igen og igen, til medarbejderen trykker godkend for at få fred. Det amerikanske CISA beskriver netop dette som en kendt angrebsform. Talmatchning, hvor brugeren skal indtaste et tal fra skærmen i appen, gør det meget sværere. Microsoft har gjort talmatchning til standard i Microsoft Authenticator.
2. Stjålne sessioner og tokens. Når man er logget ind, gemmer computeren et bevis (et token), så man ikke skal godkende igen hele tiden. Angribere kan stjæle det via en falsk loginside, der sidder imellem brugeren og Microsoft (adversary-in-the-middle), eller via skadelig software på computeren. Med et stjålet token kan de bruge sessionen uden at kende adgangskoden eller skulle igennem MFA. Microsoft anbefaler derfor at hærde enhederne, kræve godkendte enheder og bruge phishing-resistente metoder.
3. Svage metoder og gendannelse. Sms og opkald kan angribes via SIM-swap, hvor en svindler får teleselskabet til at flytte nummeret til et nyt SIM-kort, eller via svagheder i telenettet. CISA anbefaler kun sms som sidste udvej. Samme svaghed gælder, hvis en medarbejder kan få nulstillet sin MFA ved blot at ringe og sige, at telefonen er væk.
4. Gamle protokoller uden MFA. Ældre mailprogrammer og protokoller som IMAP, POP3 og SMTP med almindelig adgangskode understøtter ikke MFA. Microsoft skriver, at en angriber kan bruge en ældre protokol til at omgå MFA, selv om MFA er slået til. Derfor skal de blokeres.
Eksempel: En bogholder får en mail om en delt faktura, klikker på linket og logger på en side, der ligner Microsofts. Hun godkender også MFA i appen, fordi hun selv har startet login. Siden videresender alt til Microsoft og gemmer den godkendte session – og angriberen er nu logget ind som hende.
Metoderne er ikke lige stærke
CISA rangerer MFA-metoder efter, hvor modstandsdygtige de er. Microsoft har samme opdeling i Entra ID, hvor den indbyggede godkendelsesstyrke Phishing-resistent MFA kun accepterer Windows Hello for Business, FIDO2-sikkerhedsnøgler og passkeys samt certifikatbaseret login. Godkendelse i Microsoft Authenticator-appen tæller som MFA, men ikke som phishing-resistent.
| Metode | Phishing | MFA-træthed | SIM-swap |
|---|---|---|---|
| Passkey, sikkerhedsnøgle, Windows Hello | Modstår | Ikke relevant | Ikke relevant |
| App med talmatchning | Sårbar | Modstår | Ikke relevant |
| Engangskode fra app | Sårbar | Modstår | Ikke relevant |
| App-godkendelse uden tal | Sårbar | Sårbar | Ikke relevant |
| Sms eller opkald | Sårbar | Ikke relevant | Sårbar |
Vær opmærksom: Microsoft udfaser sin egen levering af sms og opkald til login i Microsoft Entra ID. Fra 1. februar 2027 ophører den for alle brugere undtagen globale administratorer og eksterne brugere, som følger 1. juli 2027. Brugere, der kun har sms eller opkald, bliver tvunget til at registrere en passkey ved næste login. Siden 1. september 2026 er passkeys som udgangspunkt blevet slået til automatisk for brugere med sms eller opkald, medmindre lejeren midlertidigt har fravalgt det. Virksomheder med et reelt behov kan fortsat bruge sms via en ekstern teleudbyder.
Standardsikkerhed eller Conditional Access?
Alle Microsoft 365-abonnementer har Microsoft Entra ID, og nye lejere får standardsikkerhed (security defaults). Den kræver, at alle registrerer MFA, at administratorer altid bruger MFA, og blokerer gamle protokoller. Den kan kun slås til eller fra.
Conditional Access giver regler, der kan tilpasses: fx kun adgang fra computere, der er styret og i orden, krav om stærkere metoder til administratorer eller blokering af login fra bestemte lande. Det kræver mindst Microsoft Entra ID P1, som ifølge Microsoft indgår i Microsoft 365 Business Premium. Risikobaserede regler, der reagerer på mistænkelige login, kræver Entra ID P2.
Vores vurdering: Har I Business Premium, bør I bruge Conditional Access frem for standardsikkerhed. Det er her, de vigtigste huller kan lukkes – særligt kravet om, at adgang kun sker fra enheder, I selv styrer.
Spørgsmål og svar
Er en passkey det samme som at logge på med fingeraftryk?
Ikke helt. Fingeraftryk, ansigt eller PIN bruges til at låse passkeyen op på enheden, men selve beviset er en kryptografisk nøgle. Microsoft beskriver passkeys som bundet til en enhed eller et synkroniseret nøglelager og modstandsdygtige over for phishing, SIM-swap og genbrug af stjålne data. Læs mere om passkeys.
Hvad gør vi, hvis vi har godkendt et login ved en fejl?
Skift adgangskoden med det samme, og kontakt jeres IT-ansvarlige, så aktive sessioner kan tilbagekaldes og kontoen kan tjekkes for nye regler eller videresendelser i mailen.
Kilder (tjekket oktober 2026): Configure Security Defaults for Microsoft Entra ID – Microsoft Learn · Overview of Conditional Access Authentication Strengths – Microsoft Learn · Protecting Tokens in Microsoft Entra ID – Microsoft Learn · Protecting authentication methods in Microsoft Entra ID – Microsoft Learn · Passkeys by default and retirement of Microsoft-provided SMS and voice authentication – Microsoft Learn · Require phishing-resistant multifactor authentication for Microsoft Entra administrator roles – Microsoft Learn · Microsoft 365 for business security overview – Microsoft Learn · Implementing Phishing-Resistant MFA (fact sheet) – CISA
Hvor stærk er jeres MFA i praksis?
I en gratis IT-gennemgang tjekker vi jeres loginmetoder, gamle protokoller og adgangsregler og fortæller, hvad der bør ændres før februar 2027.
