To-faktor er ikke nok: Angreb steg 155 gange på et halvår

Sikkerhedsfirmaet Huntress har målt en stigning på 155 gange i mængden af password spraying-angreb på tværs af sine kunder i løbet af første halvår 2026. En gennemsnitlig kundeorganisation ser nu omkring 1.964 mislykkede loginforsøg om måneden. Og det væsentlige er ikke tallet i sig selv — det er, at en stor del af de forsøg, der lykkes, rammer konti, hvor der var slået to-faktor til.

Det betyder ikke, at to-faktor er ubrugeligt. Det betyder noget mere præcist og mere ubehageligt: at der findes login-veje ind i Microsoft 365, hvor to-faktor-kravet aldrig bliver stillet. Angriberne har fundet dem, og de bruger dem systematisk.

Hvad password spraying er — og hvorfor det virker igen

Klassisk brute force prøver tusindvis af kodeord mod én konto. Det udløser kontospærring med det samme og har ikke virket i årevis.

Password spraying vender princippet om: ét kodeord prøves mod tusindvis af konti. Prøver angriberen Sommer2026! mod 5.000 brugere, ser det for hver enkelt konto ud som ét enkelt fejlslagent login — under grænsen for spærring, under grænsen for de fleste alarmer. Og statistisk er der næsten altid nogen, der bruger det.

I 2026 er metoden blevet effektiv igen af to grunde. Den ene er mængden af lækkede kodeord fra tidligere databrud, som gør gætterierne kvalificerede frem for tilfældige. Den anden er den vej, angriberne har fundet ind.

ROPC: den bagdør, hvor to-faktor aldrig bliver spurgt

Kernen i Huntress' rapport er en gammel OAuth-mekanisme ved navn ROPC — Resource Owner Password Credentials. Den lader et program sende brugernavn og kodeord direkte til Microsofts /token-endpoint og få en adgangstoken retur.

Der er ingen browser involveret. Ingen omdirigering. Ingen interaktiv prompt — og dermed ingen mulighed for at bede om en to-faktor-kode. ROPC blev designet i en tid, hvor gamle klientprogrammer skulle kunne logge ind, og den er forlængst udfaset i OAuth 2.1. Men den findes stadig, og i mange lejemål er den slået til.

Huntress' Andrew Brandt, Principal Threat Intelligence Incident Commander, formulerer det skarpt: "Selvom vi kalder det en autorisationsmetode, er det teknisk set en efterligningsmetode."

Det er den mekanisme, der blev brugt i den kampagne, Huntress kalder LSHIY. Mellem den 12. og 26. juni 2026 blev der affyret over 81 millioner loginforsøg på 14 dage mod Microsoft-konti, primært gennem kommandolinjeværktøjet Azure CLI. Resultatet: 78 kompromitterede konti fordelt på 64 organisationer. Trafikken kom fra et IPv6-område tilhørende LSHIY LLC (2a0a:d683::/32) og flyttede sig senere til infrastruktur hos FranTech og 3xK Tech.

Derfor hjalp to-faktor ikke — i de fleste tilfælde var den slet ikke aktiv

Her er den del, der er værd at læse langsomt, fordi den ofte bliver refereret forkert.

Huntress analyserede 23 ramte organisationer. Fordelingen var:

• 8 havde slet ingen MFA-politik. Ingen to-faktor, intet at omgå.
• 15 havde MFA — men den greb ikke. Politikken gjaldt kun bestemte apps eller bestemte brugergrupper. Nogle havde undtagelser for "betroede lokationer", som angriberen kunne se ud til at komme fra. Andre havde politikken kørende i report-only mode, hvor den logger, hvad den ville have blokeret, uden nogensinde at blokere noget.

Ingen af de 23 sager handler altså om, at en angriber brød igennem en korrekt konfigureret to-faktor. De handler om, at kravet aldrig blev håndhævet på den vej, angriberen kom ind ad.

Det er en vigtig skelnen. Overskriften "to-faktor virker ikke længere" er forkert og skadelig — den får folk til at slå noget fra, der beskytter dem. Den rigtige konklusion er: to-faktor beskytter kun de døre, den er sat op foran. En politik, der dækker Outlook på nettet, men ikke Azure CLI, er ikke to-faktor på kontoen. Det er to-faktor på én app.

Hvilke former for to-faktor holder — og hvilke gør ikke

Selv når to-faktor faktisk håndhæves, er der stor forskel på styrken. Sådan ser rangordenen ud i 2026:

SMS-koder — svagest. Kan opsnappes ved SIM-swap, og koden kan videregives til en falsk login-side i realtid. Stadig langt bedre end intet.

Kodegenerator-apps (TOTP). Immune over for SIM-swap, men ikke over for phishing: indtaster du din sekscifrede kode på en falsk side, videresender angriberen den til den ægte tjeneste inden for de 30 sekunder, koden gælder. Det er den teknik, værktøjer som Forg365 automatiserer i stor skala.

Push-godkendelser. Sårbare over for "MFA fatigue", hvor angriberen sender godkendelsesanmodninger igen og igen, indtil nogen trykker ja for at få ro. Number matching — hvor du skal indtaste et tal, du ser på skærmen — fjerner det meste af problemet og bør slås til.

Passkeys og FIDO2-nøgler — stærkest. Her ligger den kryptografiske nøgle på din enhed eller sikkerhedsnøgle og er bundet til den rigtige hjemmesides domæne. En falsk side kan ikke få nøglen til at svare, uanset hvor overbevisende den ser ud, og der er ingen kode at videregive. Det er den eneste af metoderne, der er phishing-resistent i teknisk forstand.

Men — og det er pointen, der oftest springes over — passkeys løser ikke ROPC-problemet. Er der en login-vej, hvor godkendelsespolitikken slet ikke bliver konsulteret, hjælper det ikke, hvor stærk din faktor er. Den bliver aldrig efterspurgt. Passkeys løser phishing. Lukning af ROPC og korrekt betingede adgangspolitikker løser omgåelsen. Man har brug for begge dele.

Det samme gælder en tredje kategori: tyveri af aktive sessioner. Har angriberen fat i din session-cookie, er login allerede sket, og ingen faktor bliver spurgt. Vi har beskrevet metoden i Chrome DevTools-teknikken, hvor hackere overtager dine åbne logins.

Sådan lukker du hullet — konkret

For virksomheder med Microsoft 365 eller Entra ID:

1. Slå ROPC fra. Bloker legacy-godkendelse i det hele taget. Indstillingen userStrongAuthClientAuthNRequired tvinger stærk godkendelse igennem for de klienttyper, der ellers slipper udenom.
2. Håndhæv MFA for alle brugere, alle apps og alle klienttyper — uden undtagelser. Gennemgå jeres betingede adgangspolitikker og se specifikt efter tre ting: app-afgrænsninger, gruppeafgrænsninger og "betroede lokationer".
3. Tag politikkerne ud af report-only. En politik i report-only blokerer intet. Tjek datoen for, hvornår den sidst blev ændret — mange har stået sådan siden opsætningen.
4. Begræns Azure CLI til administratorer. Almindelige brugere har sjældent brug for kommandolinjeadgang til jeres tenant.
5. Rul passkeys ud til alle, der kan. Både Windows Hello, Face ID og fysiske sikkerhedsnøgler fungerer som FIDO2-godkendelse — vi gennemgik retningen, da Microsoft Edge gjorde Windows Hello obligatorisk for gemte adgangskoder.
6. Overvåg mislykkede logins som en gruppe, ikke enkeltvis. Password spraying er usynligt per konto, men tydeligt på tværs: mange konti, ét fejlslagent forsøg hver, inden for kort tid.

For private brugere er listen kortere: brug en kodeordsmanager, så du aldrig genbruger et kodeord — spraying virker udelukkende på genbrug — og slå passkeys til, hvor tjenesten tilbyder det. Google, Apple, Microsoft og de fleste større danske tjenester understøtter det i dag.

Hvad betyder det for danskerne?

Microsoft 365 er standardplatformen i langt de fleste danske virksomheder, og det er præcis den platform, kampagnen går efter. Betingede adgangspolitikker kræver i Entra ID en P1-licens, og netop dér findes en typisk dansk fejlkilde: mange mindre virksomheder har licenser til nogle brugere og ikke til andre, hvilket i praksis skaber lige nøjagtig den slags huller i dækningen, Huntress fandt.

Værd at holde adskilt: MitID beskytter din adgang til NemKonto, borger.dk og netbank — men ikke din arbejds-Microsoft-konto. Det er to helt separate verdener, og angrebene her rammer den anden. Vi har set flere varianter af samme mål i 2026, herunder angreb via hotellers wifi mod Microsoft 365-konti.

Konklusion

155-doblingen er ikke et tegn på, at angriberne er blevet klogere. Den er et tegn på, at det er blevet billigere at prøve: lækkede kodeord er gratis, IPv6-adresser er nærmest ubegrænsede, og der findes en login-vej, hvor forsvaret aldrig bliver aktiveret.

Det, der er værd at gøre i denne uge, er ikke at skifte kodeord. Det er at åbne jeres betingede adgangspolitikker og svare på ét spørgsmål: gælder de for alle brugere, alle apps og alle klienttyper — eller er der en undtagelse, ingen har kigget på siden opsætningen? I 15 ud af 23 undersøgte organisationer var svaret det sidste.

Og hold fast i nuancen: to-faktor skal ikke slås fra, den skal håndhæves hele vejen rundt. Retningen fremad hedder passkeys, og de tjenester, der allerede tilbyder dem, er værd at flytte over på nu.

BleepingComputer omtalte rapporten den 19. august 2026. Huntress' egen analyse af LSHIY-kampagnen findes på huntress.com.