Ett starkt lösenord är en bra början, men det räcker inte längre för att skydda viktiga konton. Lösenord läcker vid dataintrång, lockas fram i nätfiskemejl eller gissas av automatiserade attacker. Därför rekommenderar säkerhetsorganisationer att man lägger till ett andra steg vid inloggning: tvåfaktorsautentisering, ofta förkortat 2FA. I den här artikeln går vi igenom hur det fungerar, vilka metoder som finns och varför så kallade passkeys håller på att bli nästa standard.
Vad är tvåfaktorsautentisering?
Autentisering handlar om att bevisa vem man är. Det kan göras med tre typer av faktorer: något du vet (lösenord eller pinkod), något du har (mobiltelefon, säkerhetsnyckel) och något du är (fingeravtryck eller ansikte). Tvåfaktorsautentisering innebär att två olika typer kombineras. Om en angripare har kommit över ditt lösenord räcker det alltså inte, eftersom personen också behöver din telefon eller nyckel. Begreppet flerfaktorsautentisering, MFA, används för samma princip när två eller fler faktorer krävs.
Vanliga metoder – från svagast till starkast
- Sms-koder. En engångskod skickas till mobilen. Det är mycket bättre än bara lösenord, men sms kan fångas upp via så kallad SIM-swapping, där bedragare lurar operatören att flytta numret till ett nytt kort.
- Autentiseringsappar. Appar som Microsoft Authenticator, Google Authenticator eller öppen källkods-alternativ genererar en ny sexsiffrig kod var trettionde sekund (standarden TOTP). Koderna skapas lokalt i telefonen och skickas inte över mobilnätet.
- Push-notiser. Tjänsten skickar en fråga till appen och du godkänner inloggningen. Bekvämt, men angripare har utnyttjat det genom att skicka många förfrågningar i hopp om att användaren trycker ja av ren irritation. Godkänn aldrig en inloggning du inte själv har startat.
- Fysiska säkerhetsnycklar. En liten USB- eller NFC-nyckel enligt FIDO2-standarden. Nyckeln kontrollerar att webbadressen är rätt innan den svarar, vilket gör den i praktiken motståndskraftig mot nätfiske.
Det amerikanska standardiseringsinstitutet NIST skiljer i sina riktlinjer för digital identitet mellan metoder som är nätfiskeresistenta och sådana som inte är det. Sms-koder och manuellt inmatade engångskoder räknas inte som nätfiskeresistenta, eftersom en falsk sida kan be användaren skriva in koden och sedan använda den direkt.
Passkeys – inloggning utan lösenord
Passkeys, på svenska ibland kallade nycklar eller inloggningsnycklar, bygger på samma kryptografi som fysiska säkerhetsnycklar. När du skapar en passkey för en tjänst genererar din enhet ett nyckelpar. Den privata nyckeln stannar på enheten eller i ditt lösenordshanterarkonto, och tjänsten sparar bara den publika. Vid inloggning låser du upp nyckeln med fingeravtryck, ansikte eller skärmlås. Det finns inget lösenord som kan läcka, och nyckeln fungerar bara på den riktiga webbplatsen.
Apple, Google och Microsoft stöder passkeys i sina operativsystem och webbläsare, och allt fler tjänster erbjuder dem, bland annat e-post, sociala medier och e-handel. Google beskriver i sin utvecklardokumentation passkeys som både säkrare och snabbare än lösenord kombinerat med engångskoder.
Var ska man börja?
Det är inte nödvändigt att slå på 2FA överallt samma dag. Börja med de konton som skulle orsaka mest skada om de kapades:
- Din huvudsakliga e-postadress – den används för att återställa lösenord till nästan allt annat.
- Lösenordshanteraren, om du använder en.
- Molnlagring med foton och dokument.
- Sociala medier och konton med betalkort kopplat.
- Jobbkonton, i samråd med it-avdelningen.
Spara återställningskoderna som tjänsten ger när du aktiverar 2FA, och förvara dem säkert, till exempel utskrivna i ett låst skåp. Om telefonen försvinner är det dessa koder som låter dig komma in igen. Registrera gärna mer än en metod, till exempel både app och säkerhetsnyckel.
För företag
För organisationer är flerfaktorsautentisering i dag en grundläggande säkerhetsåtgärd. Kontoövertag via stulna inloggningsuppgifter är en vanlig väg in vid intrång och utpressningsattacker. Den nya cybersäkerhetslagstiftningen som följer av EU:s NIS2-direktiv lyfter också fram autentisering som en del av riskhanteringen hos verksamheter som omfattas. Sedan den 1 juli 2026 ligger Sveriges nationella CSIRT, CERT-SE, inom Nationellt cybersäkerhetscenter (NCSC) vid FRA, dit cyberverksamheten från Myndigheten för civilt försvar flyttades. Där publiceras råd och varningar som även mindre företag har nytta av att följa.
Sammanfattning
Tvåfaktorsautentisering stoppar de flesta automatiserade attacker mot konton med läckta lösenord. Välj helst en autentiseringsapp eller en säkerhetsnyckel framför sms, skapa passkeys där det går och skydda e-posten först. Det tar några minuter per konto men minskar risken för kapning avsevärt.