Passkeys mod phishing: Beskyt tilmelding, recovery og helpdesk

Passkeys gør det markant sværere at stjæle et login via en falsk loginside.
Ny video-phishing viser dog, at angribere kan forsøge at overtage selve tilmeldingen af en passkey.
Her får I en praktisk kontrolmodel for tilmelding, recovery, helpdesk og hurtig reaktion.

Passkeys bliver ofte beskrevet som svaret på phishing, og med god grund. De erstatter delbare hemmeligheder med kryptografiske nøgler, der er knyttet til den rigtige tjeneste. Men en stærk loginmetode kan stadig undermineres, hvis en angriber får lov til at registrere sin egen passkey, nulstille brugerens adgang eller overtale helpdesk til at åbne en alternativ vej ind.

Den risiko er blevet konkret. CERT-EU’s Cyber Brief for juli 2026 beskriver en videophishingkampagne mod Microsoft 365, hvor telefonbaseret social engineering og operatørstyrede phishingværktøjer blev brugt til at registrere passkeys under angribernes kontrol. Udviklingen illustrerer behovet for, at ledelsen i danske organisationer sikrer, at processerne for medarbejdernes registrering og ændring af loginmetoder er lige så sikre som selve loginmetoderne.

Passkeys ændrer, hvad angriberen skal stjæle

En passkey bygger på et nøglepar. Den private nøgle bliver på brugerens enhed eller i en beskyttet synkroniseringstjeneste, mens tjenesten opbevarer en offentlig nøgle. Login godkendes ved, at den private nøgle underskriver en udfordring fra den rigtige tjeneste. Dermed er der ingen adgangskode eller engangskode, som brugeren kan skrive ind på en kopieret loginportal.

Det nederlandske NCSC anbefaler passkeys som phishing-resistent autentifikation, hvor teknologien er understøttet. Den beskyttelse gælder imidlertid den normale loginhandling. Første registrering, tilføjelse af en ny enhed, recovery og administrative nulstillinger er separate processer med egne risici.

I den kampagne, CERT-EU omtaler, forsøgte angriberen ikke blot at genbruge en stjålet kode. Ved hjælp af samtaler og falske arbejdsgange blev brugeren ledt gennem en proces, som gjorde det muligt at tilknytte en passkey, angriberen kontrollerede. Når den først var registreret, kunne den fungere som en legitim autentifikationsmetode og understøtte efterfølgende adgang og dataafpresning.

Det er en vigtig ændring i risikobilledet omkring phishing: Medarbejderen skal ikke kun kunne genkende en falsk mail. Organisationen skal også kunne forhindre og opdage uautoriserede ændringer af en medarbejders digitale identitet samt kunne rulle dem tilbage. Derfor bør ansvaret for passkey-projektet forankres hos både sikkerhedsfunktionen, IAM, servicedesk og de systemansvarlige, ikke kun hos den tekniker, der aktiverer funktionen.

Dansk praksis kræver, at omvejene også er sikre

Datatilsynets katalog om multifaktorautentifikation fremhæver phishing-resistent MFA og understreger samtidig, at hjælpefunktioner som glemt adgangskode ikke må blive en omvej, der reelt underminerer MFA. Tilsynet beskriver valget af foranstaltninger som risikobaseret efter databeskyttelsesforordningens artikel 32. Det gør dokumentationen central: I skal kunne vise, hvilke misbrugsscenarier der er vurderet, og hvorfor tilmelding og recovery er beskyttet tilstrækkeligt.

For administratorer og brugere med adgang til beskyttelsesværdige personoplysninger bør kontrollen være skærpet. En ny passkey til en privilegeret konto er ikke en almindelig profilændring; den er en ændring af selve tillidsgrundlaget for adgangen.

Fem kontroller beskytter passkeyens livscyklus

Bind tilmelding til en allerede stærk identitet

Kræv, at brugeren godkender en ny passkey med en eksisterende phishing-resistent faktor eller gennem en kontrolleret identitetskontrol. Undgå arbejdsgange, hvor et password og en telefonkode alene kan oprette den stærkeste faktor. For privilegerede konti kan en ekstra godkender være en proportional kontrol.

Gør helpdesk svær at social-engineere

Servicedesk skal have et kort, entydigt manuskript for mistet enhed, ny telefon og låst konto. Uopfordrede video- eller telefonopkald må ikke kunne starte en nulstilling. Medarbejderen skal afslutte kontakten og genoptage den gennem en kendt kanal, og højrisikoændringer skal dokumenteres.

Fjern svage fallback-login

Kortlæg alle alternative loginveje: ældre protokoller, engangskoder, backupkoder, midlertidige adgangspas, app-specifikke passwords og lokale konti. En passkey giver ikke phishing-resistent adgang, hvis en lettere genvej stadig kan bruges til samme konto.

Overvåg registrering og recovery som sikkerhedshændelser

Saml logs for nye autentifikationsmetoder, ændringer i recoveryoplysninger, tokenudstedelse og efterfølgende login. Varsl brugeren via en uafhængig kanal, og definer hvornår en ændring automatisk skal føre til spærring eller manuel kontrol. Målet er at forkorte tiden fra uautoriseret tilmelding til handling.

Øv tilbagerulningen

Et realistisk scenarie begynder med en medarbejder, der rapporterer et mistænkeligt videoopkald efter at have fulgt en tilmeldingsvejledning. Teamet skal kunne identificere den nye passkey, tilbagekalde sessioner og tokens, fjerne ændrede recoverydata, kontrollere berørte Microsoft 365-ressourcer og dokumentere beslutningen. Brug eventuelt Nesp.ONEs IT-beredskabsplan som ramme for roller, eskalation og øvelser.

Ledelsen bør efterspørge få driftsmål: andelen af højrisikokonti med passkeys, antallet af svage fallback-metoder, tiden fra registrering til logtilgængelighed, andelen af recoveryforløb med stærk identitetskontrol og den målte tid til at tilbagekalde en uautoriseret faktor. Det giver et bedre billede end blot at tælle, hvor mange brugere der har aktiveret funktionen.

Passkeys er fortsat et stærkt skridt væk fra kodebaseret phishing. Gevinsten bliver reel, når tilmelding, recovery, helpdesk og hændelsesrespons designes som én sammenhængende adgangsproces. Det er her, virksomheder kan omsætte teknologien til dokumenterbar risikoreduktion og samtidig styrke det bredere arbejde med IT-sikkerhed i virksomheden.