AI-drivna verktyg kan testa miljarder lösenordskombinationer per sekund med hjälp av stulna listor från gamla dataintrång. Men den verkliga faran är enklare: att återanvända samma lösenord på flera sajter betyder att ett enda läckt lösenord kan låsa upp dussintals konton. Lösningen är en lösenordshanterare, tvåfaktorsautentisering och en gratis intrångskontroll — allt detta kan du sätta upp på en eftermiddag utan några tekniska kunskaper.
I en AARP-undersökning bland amerikanska vuxna i åldern 50 år och äldre hamnade oron för att AI används för att knäcka lösenord på första plats med 87% — före deepfakes (85%) och röstkloning (84%). (Källa: AARP Public Policy Institute.) Den oron är befogad. AI-verktyg kan nu automatiskt testa enorma listor med stulna lösenord på hundratals webbplatser, snabbare än någon människa.
Det lugnande är att du inte behöver tekniska kunskaper för att skydda dig. De fyra stegen nedan fungerar oavsett om du har en iPhone, en Android-telefon, en Windows-dator eller en Mac — och det viktigaste första steget tar ungefär fem minuter.
Vad "AI-gissning av lösenord" faktiskt innebär
När du hör att AI kan "knäcka" lösenord är det här som faktiskt händer. Brottslingar skaffar listor med användarnamn och lösenord från gamla dataintrång — läckor från stora webbplatser som hände för år sedan. De listorna säljs online. Program, som i allt högre grad drivs av AI, provar sedan dessa kombinationer automatiskt på hundratals andra webbplatser. Det kallas credential stuffing.
AI-delen gör det snabbare och smartare. Istället för slumpmässiga kombinationer fokuserar programmet på statistiskt mer sannolika kombinationer: vanliga ord, namn, födelseår, enkla mönster. Det lär sig vilka försök som lyckas.
Målet är sällan ditt starkaste lösenord. Det är ditt svagaste — på en sajt du glömt — som du också använde någonstans som spelar roll.
Den verkliga faran: återanvända lösenord
Om du använder samma lösenord på mer än en sajt kan ett intrång på någon av dem låsa upp de andra. Det är den enskilt största lösenordssårbarheten som de flesta har. Ett lösenord som ser starkt ut men används på fem sajter är mindre säkert än ett enklare lösenord som bara används en gång.
Tänk dig det så här: varje sajt som har din e-postadress och ditt lösenord håller en kopia av din nyckel. Om en sajt tappar bort sin nyckel och brottslingar plockar upp den provar de den på din bank, din e-post, dina myndighetskonton och dina hälsojournaler.
Lösningen är inte svårare att komma ihåg lösenord. Det handlar om att se till att inga två sajter delar ett lösenord — och nästa steg visar dig det enklaste sättet att åstadkomma det.
Steg 1: Använd en lösenordshanterare
En lösenordshanterare gör en sak: den lagrar ett annat, slumpmässigt genererat lösenord för varje sajt du använder. Du behöver bara komma ihåg ett huvudlösenord för att öppna hanteraren. Varje annat lösenord är långt, slumpmässigt och unikt — det slag som ingen människa och inget AI kan gissa.
Din telefon har nästan säkert redan en inbyggd. På en iPhone går du till Inställningar och sedan Lösenord. På en Android-telefon går du till Inställningar, sedan Google och sedan Autofyll. Båda är gratis och fungerar automatiskt när du slår på dem. När du besöker en sajt fyller lösenordshanteraren i dina inloggningsuppgifter åt dig.
Du behöver ingen betald app för att komma igång. De inbyggda hanterarna på iPhones och Android-telefoner är utmärkta för de flesta. Börja där.
En regel: ditt huvudlösenord — det som öppnar hanteraren — bör vara en lösenordsfras. Det innebär fyra eller fem vanliga ord satta efter varandra, som "lila kök filt solnedgång". Lätt att komma ihåg, väldigt svårt för programvara att gissa. Det är också vad amerikanska standardiseringsmyndigheten NIST numera rekommenderar i sina senaste riktlinjer (SP 800-63B-4): satsa på längd snarare än påtvingad teckenkomplexitet, och undvik att tvinga fram regelbundna, periodiska lösenordsbyten utan anledning. Sveriges Nationella cybersäkerhetscenter (NCSC) ger liknande råd — långa fraser i stället för korta, komplicerade lösenord, utan krav på regelbundet byte.
Steg 2: Prova nycklar (passkeys) — logga in med ditt ansikte eller fingeravtryck
En nyckel (passkey) är ett nyare, enklare sätt att logga in. Istället för ett lösenord använder du ditt fingeravtryck, ansikte eller telefonens PIN. Webbplatsen tar emot inget lösenord alls, så brottslingar har inget att stjäla vid ett intrång.
Allt fler stora tjänster — Google, Apple, Microsoft, Amazon, PayPal — erbjuder nu nycklar. När en sajt frågar om du vill "spara en nyckel" eller "logga in med en nyckel" säger du ja. Det är säkrare än vilket lösenord du än skulle kunna skriva.
Du använder förmodligen redan en version av detta på din telefon när du låser upp den med ansiktet eller fingeravtrycket. Nycklar tar med sig den enkelheten till webbplatser och appar.
Steg 3: Slå på tvåfaktorsautentisering
Tvåfaktorsautentisering (ofta kallad 2FA) innebär att även om någon får tag på ditt lösenord kan de ändå inte logga in utan en andra kontroll — vanligtvis en kod som skickas till din telefon.
Det finns två typer av 2FA och de är inte lika säkra:
SMS-koder — sajten skickar en sexsiffrig kod via sms. Det är bättre än ingenting, men telefonnummer kan under vissa omständigheter tas över av bedragare, vilket gör det till det svagare alternativet.
En autentiseringsapp — gratis appar som Google Authenticator eller Microsoft Authenticator genererar en ny kod var 30:e sekund på din telefon. Även om en bedragare har ditt lösenord kan de inte få tag på den koden utan att fysiskt hålla din telefon. Det är mycket säkrare.
Börja med SMS om det är det enda alternativet som erbjuds — det är fortfarande en meningsfull förbättring jämfört med ingen 2FA alls. Men för dina viktigaste konton (e-post, bank, sociala medier) byt till en autentiseringsapp när du kan.
Steg 4: Kontrollera om din e-post har förekommit i ett intrång
En webbplats som heter Have I Been Pwned (haveibeenpwned.com) låter dig skriva in din e-postadress och se vilka dataintrång som har exponerat den. Den skapades av en säkerhetsforskare och är gratis att använda. Sajten frågar inte efter ditt lösenord — bara din e-postadress.
Gå dit, skriv in din e-post och tryck på kontrollknappen. Sajten visar dig en lista över intrång där din e-postadress har förekommit. Om din e-post dyker upp i ett intrång känner brottslingar till ditt lösenord för den sajten. Byt det direkt — och byt det på alla andra sajter där du använde samma lösenord.
Vad du bör se upp med
Falska e-postmeddelanden om att "ditt konto har hackats". Brottslingar skickar e-postmeddelanden som ser ut som officiella säkerhetsvarningar: "Vi har upptäckt ovanlig aktivitet. Klicka här för att säkra ditt konto." Det är nätfiskeförsök. Klicka inte på länken. Gå istället direkt till sajten genom att skriva in adressen i webbläsaren, eller ring företaget med ett nummer från dess officiella webbplats.
Nätfiske vid lösenordsåterställning. En bedragare utlöser ett riktigt e-postmeddelande om lösenordsåterställning från en tjänst du använder, och ringer dig sedan och låtsas vara från företagets säkerhetsteam. De ber dig läsa upp koden som just kom till din telefon. Läs aldrig upp en säkerhetskod till någon som har ringt dig. Riktiga företagsanställda ber aldrig om detta.
Falska popupfönster som imiterar din lösenordshanterare. Din riktiga lösenordshanterare fyller i inloggningsuppgifter automatiskt — den ber dig aldrig skriva om ditt huvudlösenord på en webbsida. Om en sajt ber om ditt huvudlösenord stänger du den fliken.
Vad du kan prova härnäst
Nätfiskemail är ofta det första steget brottslingar tar innan de försöker ta över ett konto. Hur du känner igen AI-genererade nätfiskemail ger dig sex snabba kontroller som avslöjar falska meddelanden — även de som ser helt legitima ut. Om du också undrar vilken personlig information du aldrig bör dela med en AI-chatbot förklarar Vad du inte ska säga till en AI-chatbot den specifika information som kan sätta dig i riskzonen.
Källor
- NIST Special Publication 800-63B-4: Digital Identity Guidelines — Authentication and Authenticator Management — National Institute of Standards and Technology (amerikansk riktlinje, som kontext)
- 2. Säker identifiering och lösenordshantering — Nationellt cybersäkerhetscenter (NCSC)
- Have I Been Pwned — Troy Hunt
- Passkeys — FIDO Alliance
- Older Adults Express High Concern and Limited Knowledge About AI Scams and Fraud — AARP Public Policy Institute (amerikanskt sammanhang)
