Vol. 2 av 25
·
Angripares taktiker och validering
Nätverkslevererade koder är en villfarelse
SMS- och push-koder upplevs som ett meningsfullt andra skyddslager. I dag finns industrialiserade verktyg för att avlyssna dem tillgängliga för angripare. Kanalen var aldrig försvaret. Det är den delade hemligheten som är svagheten.
76 %
Ökning av AI-drivna phishingverktyg byggda för att avlyssna koder som skickas över nätet, under de tolv månaderna fram till första kvartalet 2026. Källa: HYPR / S&P Global.
53 %
Andel säkerhetschefer som nu ser generativ AI som sin största identitetsrelaterade oro, för första gången före stulna inloggningsuppgifter. Källa: HYPR / S&P Global.
98,4 %
Rapporterad minskning av kontoövertaganden inom ett kvartal efter full utrullning av FIDO2.
Antagandet
Engångskoder via SMS eller push räcker som andra faktor mot kontoövertagande. Säkerhetsteam ser ofta SMS-koder eller push-godkännanden i en autentiseringsapp som en tydlig förbättring jämfört med enbart lösenord, och rapporterar MFA som infört i sin regelefterlevnad.
Verkligheten
Angripare har industrialiserat avlyssningen av koder som skickas över nätet. Verktyg för adversary-in-the-middle (AiTM), som Evilginx, fungerar som osynliga mellanhänder: användaren loggar in som vanligt och verktyget fångar sessionskakan. Angriparen behöver aldrig koden. SIM-kapning kräver ingen interaktion med offret alls. Vid MFA-bombning leder en ström av push-förfrågningar till att en del användare till slut godkänner.
Målarkitekturen
Gå över till en phishingresistent arkitektur genom att binda autentiseringen till en förtroendegrund i hårdvara. Säkerhetsnycklar signerar med en privat nyckel som aldrig lämnar enheten. Signaturen är på protokollnivå bunden till exakt ursprung (domän). På en phishingproxy är ursprunget ett annat, så nyckeln vägrar att signera.
Tre angreppsvägar som FIDO2 stänger
AiTM-phishing: Inga giltiga inloggningsuppgifter genereras för en proxydomän, så det finns ingen session att stjäla.
SIM-kapning: Utan SMS-kanal ger det ingenting att flytta över ett nummer.
MFA-bombning: Det finns ingen push-förfrågan att godkänna. Inloggningen kräver att användaren fysiskt rör vid nyckeln.
Införande i tre faser
Fas 1 (dag 1–30): Dela ut säkerhetsnycklar till privilegierade konton: domänadministratörer, attestanter av betalningar och chefer.
Fas 2 (dag 31–90): Utöka med FIDO2-passkeys till resten av personalen, med centralt hanterad utdelning och registrering.
Fas 3 (dag 90 och framåt): Avveckla SMS-koder och push-MFA. Behåll dem bara för äldre integrationer, med ett dokumenterat slutdatum.
SMS-koder håller sannolikt inte vid en NIS2-granskning efter en incident
NIS2 artikel 21 kräver att väsentliga verksamhetsutövare och viktiga verksamhetsutövare använder MFA eller kontinuerlig autentisering där det är lämpligt. Kompletterande vägledning förväntar sig phishingresistent MFA för åtkomst med hög risk. FIDO2-nycklar uppfyller kravet på phishingresistent MFA med en hårdvarubunden autentiserare.
Källor
HYPR / S&P Global, State of Passwordless Identity Assurance 2026
MITRE ATT&CK T1557 (AiTM)
IBM X-Force Threat Intelligence Index 2025
Microsoft Digital Defense Report 2023
Vill du veta hur det ser ut i er miljö?
Boka en genomgång med Ciptor, så går vi igenom era antaganden tillsammans.
Boka en genomgång