Steven Lafortune
David GrandolfoOktober er Cybersikkerhedsmåneden, en global kampagne med en enkel opgave: hjælpe folk med at tage et par vaner til sig, som faktisk gør dem mere sikre online. Rådene ændrer sig sjældent: opdater softwaren, hold op med at genbruge adgangskoder, tænk dig om, før du klikker. Det svære er, at mange af os allerede tror, at vi gør det.
Vi har alle en cybersikkerhedsmyte eller to med os. I oktober sidste år spurgte vi fællesskabet hvilke cybersikkerhedsmyter der irriterer dig mest. Dem, folk kan remse op uden at tænke, fyldte listen: en virksomhed, der er for lille til at være værd at hacke, antivirus som en færdig strategi, en kendt afsender som bevis på, at en e-mail er sikker, en VPN som total privatlivsbeskyttelse.
I år spurgte vi kolleger, hvilke cybersikkerhedsmyter de stadig hører, eller stadig halvt tror på. Vi samlede svarene og valgte syv, som David Grandolfo, koordinator for defensiv sikkerhed, skulle svare på. Hvert afsnit nedenfor beholder myten i de ord, den kom ind med. Hans svar står i de fremhævede blokke, adskilt fra spørgsmålene.
En kompleks adgangskode er nok
Råd om adgangskoder har i årevis handlet om den samme lektie: længere er bedre, symboler er bedre, og en adgangskode, ingen kan huske, er en adgangskode, ingen kan gætte. Flere kolleger beskrev den lektie som en myte, de stadig hører, eller som de engang troede på.
En adgangskode på 50 tegn, med bogstaver, tal og specialtegn, gør mig urørlig.
En meget kompleks adgangskode er i sig selv nok til at beskytte min konto.
I lang tid, da jeg var yngre og mere naiv, troede jeg, at en meget kompleks adgangskode var alt, mine konti havde brug for.
En adgangsfrase er sikrere end et enkelt ord proppet med specialtegn.
De tre første behandler kompleksitet som hele forsvaret. En af dem fremstilles som en gammel overbevisning, den slags, der føles indlysende, indtil den ikke gør. Den fjerde diskuterer adgangskodens form, en sætning frem for et ord fyldt med symboler, og sætter stadig selve adgangskoden i centrum.
Spørgsmålet til vores sikkerhedsteam: beskytter en meget kompleks adgangskode, eller en adgangsfrase, en konto alene?
Nej. En kompleks adgangskode, eller en tilfældig adgangsfrase, beskytter ikke en konto alene. Opfølgningen er forudsigelig. MFA beskytter heller ikke en konto alene, og det gælder langt ud over en simpel sms-kode, som er lettere for en angriber at opsnappe.
Der findes flere angrebsteknikker, og en af dem er password spraying. En kompleks adgangskode mindsker den slags angreb, eller stopper dem endda i at finde din adgangskode. I 2026 opsnapper angribere i stedet adgangskoden, og derfor er phishing (at bede dig udfylde en formular med din konto og adgangskode) en af de mest populære strategier. Når en angriber har fået dig til at indtaste adgangskoden, betyder længden ikke længere noget. De har den, og de kender dit land. Så åbner de en VPN i dit land for at komme uden om Microsofts sikkerhedskontroller og indsætter bare din adgangskode.
MFA beskytter dig heller ikke fuldt ud af samme grund. Under den samme teknik går stærkere angribere videre. De beder dig logge ind „normalt“ på Microsofts websted og opsnapper derefter dit sessionstoken. Det token kan navngive kontoen, ofte din e-mail, og det registrerer, at MFA-prompten allerede er lykkedes. Det indeholder ikke din adgangskode. Afspiller de det, kan de optræde som dig, så længe sessionen er gyldig, og kun inden for det, kontoen må åbne. En lang, kompleks adgangskode hjælper. Slå MFA til. Endnu vigtigere er det at være opmærksom på, hvor du indtaster dine oplysninger.
Vi bliver alle fanget
Nogle kolleger beskrev en mere stille måde at melde sig ud på: fornemmelsen af, at det sker alligevel, eller at de er for almindelige til at være besværet værd.
Vi bliver alle fanget, før eller siden.
Hvis nogen dygtige virkelig vil ind på min konto eller min computer, kommer de ind, også selv om jeg har antivirus.
Jeg har intet at skjule, så jeg behøver ikke rigtig bekymre mig om de data, virksomheder indsamler om mig, hvad de gør med dem, eller hvem de deler dem med.
Ingen ville hacke min konto. Der er ikke noget interessant derinde.
Jeg har intet, der er værd at stjæle.
De to første behandler et brud som et spørgsmål om tid. En dygtig angriber kommer i det billede igennem alligevel, antivirus eller ej. De tre andre behandler personen som for lille, eller for uskyldig, til at betyde noget. Kollegaen, der bragte „jeg har intet at skjule“ videre, var ikke enig. Hvis folk så, hvor meget virksomheder kan indsamle, dele og sælge, ville de være langt mindre trygge. Det rækker længere, end de fleste af os tror, og selv den, der skrev det, havde en mistanke om, at den fulde liste ville overraske dem.
Spørgsmålet til vores sikkerhedsteam: er „vi bliver alle fanget før eller siden“ en fair beskrivelse, eller en grund til at holde op med at prøve? Ændrer antivirus udfaldet, hvis angriberen er dygtig nok? Og holder det faktisk en person eller en konto ude af listen, at man intet har at skjule, eller intet interessant?
Slet ikke. Det er rigtigt, at vi, eller den virksomhed, vi bruger til vores sikrede data, eller vores egen virksomhed, bliver ramt en dag. Det er ikke en grund til at offentliggøre dit kreditkortnummer eller lade hoveddøren stå åben.
De fleste angreb i 2025 var opportunistiske. Hvis det er let, er det de første mål: dem, en angriber går efter for information og frem for alt for penge. Netop derfor bør du være opmærksom. Ikke så meget, at du bliver syg af det, men op til et niveau af tryghed, du kan leve med, mens du beskytter dine personoplysninger, så du ikke går i panik, når dagen kommer. I bedste fald skal du være klar. Hav nogen, du kan ringe til, som kan guide dig, eller trin, der allerede er skrevet ned, til den dag alle dine adgangskoder eller dine bankoplysninger bliver taget. Vær forberedt, i stedet for at gå i panik, når det sker.
Intet er rigtig 100 % sikkert
Andre kolleger startede ved loftet og nævnte derefter, hvad de stadig ville lægge i vejen.
Intet er virkelig 100 % sikkert. Det praktiske mål er at lægge så mange forhindringer i vejen for en angriber som muligt, så de mister interessen og går videre.
I 2026 betyder en god VPN og et antivirus på hver enhed stadig noget.
At slå multifaktorgodkendelse til er en af de mest effektive ting, jeg kan gøre for at beskytte mine konti.
En stærk adgangskode er ikke nok i sig selv. Multifaktorgodkendelse er afgørende, selv om den ikke kan stoppe alle angreb.
Det første svar sætter grænsen: perfekt sikkerhed er ikke til salg, så opgaven er friktion. De andre nævner de værktøjer, folk stadig regner med under den grænse. En VPN og et antivirus på hver enhed, også i 2026. MFA som et af de mest nyttige skridt, man kan tage. Og i samme åndedrag en advarsel om, at MFA er afgørende og stadig ikke en garanti.
Spørgsmålet til vores sikkerhedsteam: hvis intet er helt sikkert, hvilke af de her forhindringer ændrer så faktisk udfaldet? Hvor fortjener en VPN, et antivirus og multifaktorgodkendelse stadig deres plads, og hvor bliver de bedt om at gøre mere, end de kan?
Intet er ufejlbarligt. Når det er sagt, beskytter hvert værktøj dig op til det niveau af tryghed og forventning, du sætter. Start med at finde ud af, hvor et angreb ville gøre mest ondt. At nogen finder din placering. En virus, der stopper dit arbejde i to uger. At du mister dine bankoplysninger og bliver udsat for bedrageri. Når du har sat navn på det svage punkt, lægger du sikkerhedskontroller omkring det.
Minimummet er ligetil: en kompleks adgangskode eller en lang adgangsfrase, og brug aldrig den samme adgangskode to gange. MFA på hver eneste af de konti (længe leve gratis adgangskodeadministratorer). Et antivirus, der ikke gør dit arbejde langsommere (ja, det findes, når det er konfigureret rigtigt). Læg lidt energi i at få det på plads, og du kan gå tilbage til din kaffe eller te og vide, at du er beskyttet i forhold til den indsats, du valgte at lægge, og at du er tryg ved, hvor du landede.
Social engineering
Flere kolleger lagde den største svaghed hos personen, ikke hos produktet.
Den bedste beskyttelse er at være opmærksom.
Den største svaghed i ethvert computersystem er mennesket, og hvor godt det holder stand mod social engineering.
Den største risiko er aldrig teknologien. Det er vanen. Vi investerer i sofistikerede værktøjer og glemmer, at omkring 90 % af brud stadig starter med ét klik, der var en smule for hurtigt.
Social engineering vil altid være den største vej ind.
Mennesket er det centrale led.
Et svar behandler opmærksomhed som den egentlige kontrol. Andre kalder social engineering den dør, der bliver stående åben, og mennesket det svage punkt, ethvert system stadig har.
Spørgsmålet til vores sikkerhedsteam: er social engineering stadig den vigtigste vej ind, også når værktøjerne allerede er på plads?
Phishing er den mest populære måde at få adgang på, og phishing er i sig selv en form for social engineering. Det virker desværre bedst. Der er dog flere niveauer af angreb. Ved et sofistikeret angreb, eller ved et avanceret trin i et bestemt scenarie, giver andre social engineering-teknikker, ud over phishing-beskeden, de mest succesfulde resultater.
Allerede til salg på det mørke net
Fire svar denne gang, alle om personoplysninger, når de ikke længere kun er dine: allerede til salg, tilgængelige for AI, stadig online efter en sletning, eller aldrig delt i første omgang.
Vores personoplysninger er allerede til salg på det mørke net.
AI vil aldrig kunne få adgang til mine personoplysninger uden mit samtykke.
Når noget er lagt online, findes det for evigt, også hvis det bliver slettet bagefter. Privatlivet forsvinder online.
At lægge så få personoplysninger som muligt på internettet er en god start, hvis man vil holde et liv privat. Det gælder e-mail, dokumenter gemt i skyen og beskedtråde.
Det første behandler salget som et faktum. Dine oplysninger er allerede derude. Det andet siger, at samtykke er det, der holder AI væk fra dem. Det tredje siger, at det ikke tager et opslag tilbage at slette det, så privatlivet online allerede er væk. Det fjerde leder efter et mindre fodaftryk fra starten: mindre e-mail, færre filer i skyen, færre samtaler efterladt online.
Spørgsmålet til vores sikkerhedsteam: er personoplysninger allerede til salg for et almindeligt menneske, og hvad betyder „allerede til salg“ egentlig? Kan AI nå de data uden samtykke? Fjerner det noget, at man sletter det online?
Der ligger mange oplysninger på angriberes websteder, men ikke alle kan nå dem. Der er deep web og dark web. Deep web er meget lettere at få adgang til. Hvis dine oplysninger ender på deep web, kommer problemerne hurtigere og rammer hårdere. I sofistikerede angreb ender oplysningerne på dark web og forbliver skjult det meste af tiden, fordi de er penge værd, når de sælges videre. De bliver brugt, ja. Med god beskyttelse, for eksempel beskyttelse af din kreditfil, kan du reagere eller endda blokere de svigagtige transaktioner. God beskyttelse er aldrig noget, man springer over: den sparer dig for en masse bøvl.
Hvis indstillingen er slået fra, stopper appen
En kollega lagde sin tillid på et afkrydsningsfelt, der stod lige der: de slog det fra, og i deres hoved er appen nødt til at adlyde.
Hvis jeg slår en indstilling FRA, er der ingen måde, appen kan blive ved med at gøre det. Vel?
En indstilling, der er slået fra, bør betyde noget. Myten er at behandle kontakten som hele historien.
Spørgsmålet til vores sikkerhedsteam: hvad kan appen stadig gøre, når den indstilling er slået fra?
Hvis funktionen i applikationen er slået fra, kan applikationen ikke udføre den handling, du har slået fra. Vi har dog ofte set, at opt-out-funktioner i værktøjer (især SaaS) bliver til opt-in. Læs produktbemærkningerne, eller tjek jævnligt, så du kan bekræfte, at de sikkerhedskontroller, du har sat op, stadig er der. De fleste virksomheder er opmærksomme på sikkerhed og sætter dig ikke i risiko uden at sige det klart og præcist.
Stol på ingen
En kollega svarede med en regel frem for en myte: stol ikke på noget, du får at vide, tjek det, behold en sikkerhedskopi, og kør tjenesten selv.
Stol på ingen, verificer altid, sikkerhedskopier alt, self-host.
Det er en hel tilgang til at være online: tvivl på beskeden, tjek den et andet sted, behold en kopi, og behold tjenesten i egne hænder. En streng regel kan stadig blive stolet på længere, end den hjælper.
Spørgsmålet til vores sikkerhedsteam: hvor holder „stol på ingen, verificer altid, sikkerhedskopier alt, self-host“ for én person, og hvor skaber det et nyt problem?
Omhu slår tro, naturligvis. Et tjek, der tager et par minutter, kan spare en virksomhed for flere tusinde dollars. En sikkerhedskopi, der er lavet rigtigt, betyder en sikkerhedskopi af sikkerhedskopien, opbevaret uden for virksomheden, uden en vej tilbage til den kopi fra virksomheden. Det er det, du skal bruge til en rigtig sikker kopi. Lokal hosting er kun mere sikker, hvis du har stærkere beskyttelseskontroller på din egen platform. En lokal server, som du åbner mod internettet uden en high-end WAF foran, er ikke megen beskyttelse. Den er bestemt ikke stærkere end en virksomhed, der sælger et SaaS-produkt med flere lag af beskyttelse over applikationen, lag, der skal beskytte dine data. Når det er sagt, er en lokal server med kun lokal adgang meget bedre beskyttet end noget, der er eksponeret mod internettet. Den del er sikker.
Hvis der er én ting at huske
På tværs af de syv svar er mønstret det samme. Ingen enkelt kontrol gør arbejdet færdigt, og ingen af dem er nytteløse. En lang adgangskode, multifaktorgodkendelse, et antivirus, en sikkerhedskopi og en indstilling, der er slået fra, holder hver især til et vist punkt. Det, der bliver ved med at vende tilbage, er opmærksomhed: hvor du skriver en adgangskode, om en kontrol stadig er slået til, og hvem du ringer til, når noget går galt, som David Grandolfo formulerede det:
Cybersikkerhed hviler ikke på et enkelt værktøj eller på et løfte om perfekt beskyttelse. Den hviler på enkle vaner, anvendt konsekvent. Brug lange, unikke adgangskoder i en adgangskodeadministrator, slå multifaktorgodkendelse til, hold dine enheder opdateret, og vær opmærksom, før du klikker, logger ind eller deler oplysninger. Antivirus, en VPN, sikkerhedskopier og privatlivsindstillinger tilføjer nyttige lag, men de erstatter hverken din dømmekraft eller et minimum af forberedelse, hvis en hændelse sker. Angreb går ofte efter de lette muligheder. Gør angrebet sværere, tjek det, der ser usædvanligt ud, og vid, hvem du skal henvende dig til, når noget føles forkert: det er stadig det bedste forsvar.