Falsk IT-support ringer: Din adgangsnøgle skal ikke fornyes

Lad os tage konklusionen først, for den er den eneste, du behøver at huske: en adgangsnøgle skal aldrig "fornyes", "opdateres" eller "genopsættes" efter et telefonopkald. Og ingen rigtig IT-afdeling vil bede dig om det.

Microsofts sikkerhedsforskere har siden maj 2026 fulgt en bølge af angreb, hvor kriminelle ringer eller sms'er til medarbejdere, udgiver sig for at være virksomhedens egen IT-support og fortæller, at deres adgangsnøgle, totrinsbekræftelse eller single sign-on-opsætning skal opdateres med det samme. Derfra sendes offeret videre til en falsk loginside — eller narres til at godkende angriberens adgang på Microsofts helt ægte loginside. Det er dokumenteret af BleepingComputer den 11. september 2026.

Det her handler ikke om, at adgangsnøgler er usikre

Det er vigtigt at slå fast, fordi overskrifterne let kan læses forkert.

Angrebet rører ikke ved kryptografien bag adgangsnøgler. Der bliver ikke knækket nogen nøgle, og der bliver ikke fundet noget hul i FIDO2 eller WebAuthn. Ordet "adgangsnøgle" optræder udelukkende, fordi det er påskuddet i telefonopkaldet. Det kunne lige så godt have været "din VPN skal genopsættes" eller "vi skifter mailsystem" — og det har det også været i tidligere kampagner.

Det er en vigtig skelnen i forhold til den forskning, vi omtalte for en uge siden, hvor SpecterOps kortlagde 39 angrebsmetoder mod adgangsnøgler. Dér handlede det om svagheder i det økosystem, der omgiver adgangsnøgler — synkronisering, oprettelse, gendannelse. Her handler det slet ikke om teknologien. Det er et angreb mod et menneske, der bliver ringet op af en, der lyder som en kollega.

Den skelnen er ikke akademisk. Hvis konklusionen bliver "så er adgangsnøgler jo ikke noget værd", har angriberne vundet på et helt andet plan: for at de overhovedet skal ty til den slags opkald, er netop et tegn på, at adgangsnøgler faktisk virker mod klassisk phishing.

Hvem står bag

Microsoft Threat Intelligence sporer aktiviteten til mindst to grupper:

• Storm-3121, der forbindes med afpresningsgrupperne ShinyHunters og Falcon
• Storm-3032, der knyttes til medlemmer af BlackFile og Helix

Aktiviteten overlapper desuden med den gruppe, Google Threat Intelligence betegner UNC6671 — den samme betegnelse, der gik igen, da vi i august beskrev, hvordan hackere ringede som IT-support og plyndrede finansfirmaer. Det er altså ikke en ny aktør, der pludselig er dukket op. Det er et modent, gennemprøvet håndværk, der har fået et nyt påskud.

De to tekniske greb

Selve opkaldet er kun døråbneren. Derefter bruges en af to metoder — og det er værd at kende dem begge, fordi den ene ikke ligner phishing på den måde, folk er trænet i.

1. Adversary-in-the-Middle (AiTM). Offeret sendes til et domæne, der ligner Microsofts loginside til forveksling. Blandt de registrerede domæner i kampagnen er passkeyhelpdesk[.]com, secure-passkey[.]com og setupmypasskey[.]com. Siden fungerer som mellemmand: den videresender alt, du indtaster, til den ægte Microsoft-tjeneste i realtid og opsnapper både dine oplysninger og — afgørende — den sessionstoken, du får tilbage efter et vellykket login. Med den token i hånden behøver angriberen aldrig at logge ind igen.

2. Device-code-phishing. Den her er lumskere. Offeret bliver bedt om at gå ind på Microsofts rigtige loginside og indtaste en kode, angriberen oplyser over telefonen. Adressen er ægte, certifikatet er ægte, og der er intet, en almindelig bruger kan se er galt. Det, koden i virkeligheden gør, er at godkende angriberens klient til at få adgang til dine Microsoft 365-ressourcer. Alle de tommelfingerregler, folk har lært — tjek adresselinjen, se efter hængelåsen — hjælper ikke her.

En sms sendt til den private telefon er i øvrigt en del af mønsteret. Den omgår virksomhedens mailfiltre fuldstændigt og rammer folk i en sammenhæng, hvor de er mindre på vagt.

Hvad der sker bagefter

Adgangen er ikke målet i sig selv. Ifølge Microsofts gennemgang følger et ret metodisk forløb:

1. Angriberen registrerer sine egne godkendelsesmetoder — et telefonnummer, en authenticator-app, en TOTP-nøgle. Det er persistens: selv om offerets adgangskode skiftes, bliver angriberen inde.
2. Kortlægning af miljøet via Microsoft Graph API — brugere, grupper, roller, applikationer og rettigheder.
3. Systematisk udtræk af data fra SharePoint, OneDrive og Exchange. Microsoft bemærker, at den automatiserede høstning kører med brugeragenten python-httpx.
4. Afpresning, som er forretningsmodellen hos både ShinyHunters og Helix.

Bemærk, at der ikke installeres malware nogen steder i den kæde. Der er ingen fil at opdage, ingen vedhæftning at scanne. For et antivirusprogram ligner det en medarbejder, der bruger sin egen konto.

Den regel, der stopper hele angrebet

Angrebet forudsætter, at offeret handler, mens telefonen stadig er i hånden. Derfor er modtrækket lige så simpelt:

Læg på. Ring selv tilbage til IT på det nummer, du kender i forvejen.

Det er hele forsvaret. Ikke firmanummeret fra den, der ringede, ikke et link i sms'en — det nummer, der står i intranettet eller i din egen telefonbog. Ægte IT-support har ingen problemer med, at du gør det. Det er derimod den ene ting, en svindler ikke kan komme udenom.

Derudover:

• En adgangsnøgle udløber ikke. Der findes ingen "fornyelse". Bliver du bedt om det, er det svindel — punktum.
• Indtast aldrig en kode, nogen har dikteret dig i telefonen, på en loginside. Selv om siden er ægte. Det er præcis dér, device-code-fælden lukker.
• Vær ekstra skeptisk ved tidspres. "Din konto spærres om ti minutter" er ikke en IT-procedure. Det er en salgsteknik.
• Gennemgå jævnligt de godkendelsesmetoder, der er registreret på din arbejdskonto, og meld straks alt, du ikke selv har oprettet.

For IT-afdelinger anbefaler Microsoft at indføre phishing-resistent totrinsbekræftelse, at begrænse adgang til følsomme ressourcer til administrerede enheder, at slå device-code-godkendelse fra, hvor den ikke er nødvendig, og at overvåge for usædvanlige logins efterfulgt af registrering af nye MFA-metoder. Er skaden sket, skal sessioner tilbagekaldes, adgangsoplysninger nulstilles og angriberens godkendelsesmetoder fjernes — i den rækkefølge.

Konklusion

Vi har set den samme mekanik flere gange i år under skiftende forklædninger, senest da falsk Apple Support ringede efter koden til stjålne iPhones. Påskuddet skifter. Fremgangsmåden gør ikke: et opkald, en autoritet, et tidspres og en handling, du skal udføre nu.

Det, der gør netop denne bølge værd at kende i Danmark, er ordvalget. Adgangsnøgler rulles i disse måneder ud i danske virksomheder, og mange medarbejdere er stadig usikre på, hvad de egentlig er. Den usikkerhed er præcis det, angriberne udnytter — et opkald om en teknologi, man ikke helt forstår, er langt sværere at afvise end et om noget, man kender.

Derfor er den ene sætning så meget værd: adgangsnøgler skal aldrig fornyes over telefonen. Ved medarbejderne det, falder hele angrebet fra hinanden i det første minut af opkaldet.

Kilder: BleepingComputer, 11. september 2026, med udgangspunkt i analyser fra Microsoft Threat Intelligence. Standarderne bag adgangsnøgler vedligeholdes af FIDO Alliance.