Genbruger du passwords? Derfor er det en dårlig idé (og de pinligste måder det går galt på)

Kort svar: derfor er det en dårlig idé at genbruge passwords

Når du genbruger det samme password flere steder, sker der én ting, der gør hele forskellen: Hvis koden lækker ét sted, kan den bruges alle de andre steder, du har genbrugt den.

Det kaldes ofte credential stuffing: Hackere får fat i brugernavn + kode fra et datalæk, og så prøver de automatisk det samme login på fx mail, sociale medier, shopping, streaming, måske endda din arbejdsmail. Ingen superhacking, bare kedeligt genbrug.

Så selv hvis det “bare” er din gamle konto hos et tilfældigt website, der bliver hacket, kan det være nok til, at nogen tager turen videre til alt det vigtige. Det er derfor eksperter bliver ved med at gentage: Ét læk + ét genbrugt password = kædereaktion.

Sådan går det galt i praksis (a.k.a. den digitale dominoeffekt)

Forestil dig, at du har brugt det samme password til et lille forum, du oprettede konto på i gymnasiet, og til din mail. Forummet bliver hacket, og login-oplysningerne ryger ud i et datalæk.

En hacker (eller bare et automatiseret script) henter den liste og prøver mail + password på Gmail, Outlook, Facebook, Instagram, måske din netbank. 9 ud af 10 gange siger vi alle sammen “det sker nok ikke for mig”. Men for dem, det rammer, går det typisk sådan her:

• En “ligegyldig” konto bliver kompromitteret via et læk.
• De samme login-oplysninger testes automatisk på andre tjenester.
• Mailen ryger først. Og når nogen har din mail, kan de nulstille adgangskoder til alt muligt andet.
• Pludselig bliver sociale medier, shoppingprofiler, måske arbejdskontoen også ramt.

Pointen er: Selv små konti er ikke små, hvis du bruger den samme kode overalt. De bliver en bagdør ind til resten af dit digitale liv.

De pinligste måder et genbrugt password kan ramme dig

Lad os lige parkere de tørre begreber og hoppe over i den mere… menneskelige del. For det er sjældent kun økonomi, der gør ondt. Det er også det sociale, det akavede, alt det vi helst ville holde privat.

1. Når din eks pludselig bliver din “ghostwriter” på Insta

Du har genbrugt et gammelt password på Instagram, som også lå i et læk fra en shoppeside. Nogen logger ind på din konto, bladrer rundt og begynder at poste ting i dit navn.

Forestil dig at vågne til notifikationer som: “Er du ok??” og “Sygt du tør skrive det offentligt”. En eller anden har været inde på dine gamle DM’er, set dine “skal vi ikke lige snakkes ud?”-beskeder til eksen og måske endda sendt noget videre.

Hvis du vil dykke mere ned i den slags besked-mareridt, så tjek vores univers af screenshots og besked-fails og føl dig dejligt mindre alene.

2. Familien får adgang til dine “vennegruppe only”-sider

Du har brugt samme kode til streamingkontoen, din mail og en lidt for ærlig some-profil. En hacker tager turen gennem mailen og videre ud til diverse konti.

Pludselig er der nogen, der ændrer brugernavn og profilbillede et sted, hvor du troede, du kun jokede foran vennerne. Og så står du med forklaringen til både forældregruppen og kollegaer, fordi nogen har delt noget, der var tænkt som “close friends only”. Hvis du allerede har prøvet den slags, er den her guide til close friends-fejl ret god førstehjælp.

3. Når LinkedIn bliver et socialt mareridt

Genbrugte passwords på arbejde og privat er en klassiker. Din private mail ryger i et læk, nogen får adgang, nulstiller din LinkedIn-kode, og så begynder cirkusset.

Nogen kan:

• Sende beskeder til din chef eller tidligere arbejdsgivere i dit navn.
• Like eller dele totalt random (og måske ret pinligt) indhold.
• Lægge mærkelige opslag op, som du så skal stå og aflive mandag morgen foran HR.

Hvis du vil have en smagsprøve på, hvor hurtigt den slags kan stikke af, så er “når LinkedIn bliver socialt mareridt” en ret god reality check.

4. Din gruppechat bliver saboteret

Forestil dig, at nogen kaprer din Facebook eller din mail, fordi du genbrugte en kode. De får adgang til dine gruppechats, Messenger, måske forældregruppen eller vennegruppen.

En fremmed kan nu:

• Sende mærkelige links og beskeder i dit navn.
• Læse alle jeres gamle interne jokes (og bitching) igennem.
• Få det til at ligne, at du har skrevet noget, du aldrig har skrevet.

Hvis du ender i den situation, er der god trøst og damage control i fx “din gruppechat-fail er ikke verdens undergang” og forældregruppe-mareridtet.

5. De gamle screenshots, du havde glemt fandtes

Din mail eller cloud-konto bliver kompromitteret, fordi du har genbrugt passwordet fra et datalæk. Inde i dine mapper ligger der alt det, du aldrig regnede med at skulle se igen: gamle screenshots, lidt for ærlige noter, billeder sendt i kærlighedsrus i 2016.

Hvis nogen begynder at dele, videresende eller bare rode rundt i det, rammer vi den helt tunge cringe-afdeling. Du kan få hjælp til at håndtere sådan et mareridt i vores guide til, hvordan du redder dig ud af screenshot-hullet.

Hvad er det egentlig hackere udnytter?

Der er ikke nødvendigvis en fyr i hættetrøje, der sidder og hacker dig personligt. Det handler mere om systemer og vaner.

• Datalæk: Når en tjeneste får lækket sin bruger-database, ryger mail + password (ofte krypteret, men ikke altid) ud i omløb.
• Credential stuffing: Lækkede logins testes automatisk på andre hjemmesider. Hvis du genbruger passwords, er du præcis den type, de satser på.
• Brute force: Man gætter sig frem ved at prøve mange simple kombinationer. Det virker især mod korte og meget simple koder.
• Phishing: Falske mails, beskeder eller websites lokker dig til at skrive din kode direkte ind, så nogen kan misbruge den bagefter.

Alt sammen udnytter én ting: at vi mennesker gerne vil have det nemt. Vi har hundredevis af logins, vi orker ikke at huske nye koder hele tiden, så vi genbruger. Det er den vane, angriberne rider på.

Hvorfor vi alligevel bliver ved med at genbruge passwords

Hvis du lige nu tænker “okay, men jeg kan jo ikke huske 87 forskellige koder”, så er du helt normal.

De typiske ting, vi gør for at snyde vores egen hjerne, er fx:

• Bruger præcis samme kode overalt.
• Laver små variationer: “Kode2023!”, “Kode2024!” osv.
• Bygger koder på navne, fødselsdage eller yndlingsband.
• Skifter kode hele tiden, men kun ved at ændre ét tal eller et symbol.

Problemet er, at det føles sikkert, men udefra ligner det bare et meget forudsigeligt mønster. Så snart én variant lækkes, er de andre nemme at gætte.

Sådan laver du et stærkt og unikt password (uden at miste forstanden)

Den gode nyhed: Et godt password handler mere om længde og unikhed end om at du kan huske, om det nu var stort Q eller lille q.

Grundreglerne

• Lav det langt: Tænk 12+ tegn som minimum, gerne mere. Længde gør koden langt sværere at gætte eller knække.
• Gør det unikt per konto: Hver vigtig tjeneste skal have sin egen adgangskode.
• Undgå det åbenlyse: Ingen navne, fødselsdatoer, “123456”, “qwerty”, “password” eller variationer af dem.
• Drop tvungne, hyppige skift: Det vigtige er ikke, at du skifter hver måned, men at du skifter når noget er lækket, og at koderne er stærke.

Brug adgangssætninger

En nem måde at lave stærke koder på er adgangssætninger: en lille sætning eller kombination af ord, der er lang, men nem at huske for dig. Fx:

• jegElskerKoldePomfritterOmNatten!
• bus41stopperAldrigNårJegSkynderMig

Det er både langt, svært at gætte og meget nemmere at huske end “Gf7#pL9?”. Og så kan du variere det for forskellige tjenester, hvis du ikke bruger password manager endnu.

Password manager, 2FA og passkeys – hvad skal du vælge?

Hvis du lige nu tænker: “Der er ingen chance for, at jeg kan lave og huske unikke koder til alt”, så kommer her det mest realistiske svar: brug værktøjer.

Password manager

En password manager er et program, der gemmer alle dine koder i en krypteret “boks” bag ét stærkt master-password. Den kan:

• Generere lange, tilfældige og unikke koder til hver konto.
• Autofylde logins for dig på både mobil og computer.
• Give dig advarsel, hvis en kode er svag eller dukker op i kendte læk.

De fleste seriøse password managers koster typisk i omegnen af et par euro om måneden for privat brug (altså cirka 15-30 kr. om måneden), men priserne ændrer sig løbende, så tjek altid de aktuelle tal hos udbyderen, hvis du vil have noget konkret at regne på.

To-faktor-godkendelse (2FA)

2FA betyder, at du udover din kode skal bekræfte login med fx en sms-kode, en app eller en fysisk nøgle. Det gør, at en angriber, der har din adgangskode, stadig mangler det ekstra trin.

Det er ikke en erstatning for gode passwords, men et ekstra lag, der især er vigtigt på:

• Mailkonti.
• Sociale medier.
• Bank og betaling.
• Arbejdskonti.

Passkeys

Passkeys er en nyere løsning, hvor du logger ind med noget, du har (din telefon, din computer) og noget, du er (fx biometrisk login) i stedet for en klassisk kode.

Fordelen er, at de er meget sværere at stjæle med phishing eller credential stuffing, fordi der ikke er en traditionel adgangskode at lække. Flere store tjenester er begyndt at understøtte dem, men lige nu er det mest et supplement – du kommer stadig til at have en del almindelige koder ved siden af.

Hvad gør du, hvis du mistænker, at dine passwords er lækket?

Hvis du får en mærkelig mail, ser uventede logins eller pludselig ikke kan komme ind på en konto, så reager hellere én gang for meget end for lidt.

Trin-for-trin tjekliste

1. Start med mailkontoen
   Mailen er din “nøgle” til stort set alt andet. Skift password til et langt, unikt et, slå 2FA til, og log alle andre enheder ud, hvis tjenesten tilbyder det.
2. Skift koder på de vigtigste konti
   Prioriter bank/betaling, sociale medier, arbejdskonti og steder, hvor der ligger følsomme filer eller billeder.
3. Tjek, om dine oplysninger optræder i kendte datalæk
   Der findes tjenester, hvor du kan indtaste din mail og se, om den har været med i et kendt læk. Hvis ja, så skal de passwords, du har genbrugt derfra, skiftes nu.
4. Slå 2FA til, hvor det giver mening
   Mail, sociale medier, cloud-tjenester og kritiske apps først.
5. Tjek konto-aktivitet
   Gå dine konti igennem for ukendte logins, bestillinger, beskeder sendt i dit navn osv. Reager hurtigt, hvis noget ser off ud. Og hvis noget privat er sluppet ud, så er vores tag om digital genopretning et godt sted at starte.

Hvis skaden allerede er sket, og beskeder eller screenshots er fløjet afsted, kan du finde konkret overlevelses-hjælp i fx guiden om at overleve en reply-all-katastrofe eller om at rydde op efter besked-fails.

Regler og anbefalinger: hvad siger de seriøse kilder?

Hvis vi skræller alle jokes og pinlige scenarier væk, er eksperternes anbefalinger ret enslydende – både i Danmark og internationalt:

• Genbrug aldrig det samme password på tværs af vigtige konti.
• Gå efter lange passwords (ofte 12 tegn eller mere) frem for korte, komplekse “puzzles”, du alligevel ikke kan huske.
• Skift ikke kode unødigt ofte bare for at skifte. Skift, når der er tegn på læk, eller når en tjeneste konkret anbefaler det.
• Brug password manager til at holde styr på de unikke koder.
• Kontrollér mod kompromitterede lister, hvis du er i tvivl om, hvorvidt en mail eller kode er blevet lækket.

Den fælles røde tråd er: det er ikke brugeren, der skal være et supermenneske. Det er systemerne, der skal hjælpe dig med at gøre det rigtige nemmere end genvejen.

Hvad er den største læring?

Genbrug af passwords lyder uskyldigt, fordi det “bare” handler om noget, du taster ind. Men i praksis betyder det, at ét enkelt datalæk kan åbne døren til alt fra din mail til dine mest private beskeder – og ja, de gamle billeder, du troede var glemte.

Hvis du kun tager én ting med herfra, så lad det være denne: gør det surt for angriberne. Giv hver vigtig konto sin egen, lange kode, lad en password manager bære det tunge læs, og smid 2FA ovenpå de steder, hvor det ville gøre allermest ondt at blive overtaget.

Så kan vi gemme de pinlige historier til de gange, hvor du selv sender noget til den forkerte chat – ikke til når en fremmed gør det i dit navn. Og skulle det alligevel ske, har vi et helt univers af digitale fails og overlevelsesguides på bloggen, der kan få dig nogenlunde helskindet igennem.