MFA (Multi-Factor Authentication)

Lösenord ensamt räcker sällan för att skydda viktig information i dagens digitala landskap, där attacker blir alltmer sofistikerade. Multi-Factor Authentication (MFA) adderar avgörande säkerhetslager för att säkerställa att endast behöriga användare får åtkomst till konton och system.

Vad är MFA (Multi-Factor Authentication)?

Multi-Factor Authentication (MFA), eller multifaktorautentisering, är en säkerhetsmetod som kräver att en användare presenterar minst två (eller fler) olika typer av bevis – så kallade faktorer – för att verifiera sin identitet vid inloggning. Detta skiljer sig från traditionell autentisering som oftast bara kräver en faktor (vanligtvis ett lösenord). Genom att kombinera faktorer från olika kategorier skapas ett betydligt starkare skydd mot obehörig åtkomst.

Varför är MFA så viktigt?

Implementering av MFA är ett av de mest effektiva sätten att stärka digital säkerhet:

• Avsevärt minskad risk för kontoövertagande: Även om en angripare kommer över ditt lösenord, behöver de fortfarande tillgång till den andra faktorn (t.ex. din mobiltelefon) för att logga in.
• Effektivt skydd mot vanliga attacker: Stoppar många automatiserade attacker som brute-force och credential stuffing, samt försvårar framgångsrika phishing-försök.
• Uppfyller säkerhetskrav och rekommendationer: Allt fler regleringar och branschstandarder kräver eller starkt rekommenderar MFA för åtkomst till känsliga system.
• Ökad trygghet för användare och organisationer: Ger ett robust skydd för e-post, molntjänster, företagsdata och personlig information. – Även om SMS och telefonbasserad autentisering fortfarande förekommer i vissa sammanhang, bör dessa metoder inte ses som förstahandsval. De är mer sårbara för attacker som SIM-kortsbedrägerier och avlyssning. I en svensk kontext pekar MSB och andra myndigheter på vikten av att använda starkare alternativ, som autentiseringsappar eller fysiska säkerhetsnycklar, särskilt vid hantering av känslig information eller system med hög skyddsnivå.

MFA-metoder i jämförelse — säkerhet vs användarvänlighet

Alla MFA-metoder är inte likvärdiga. Här är en praktisk jämförelse av de vanligaste:

Metod	Säkerhetsnivå	Användarvänlighet	Rekommenderat för
SMS-engångskod	Låg	Hög	Endast som absolut minimum — sårbart för SIM-swap
Push-notis i autentiseringsapp	Hög	Mycket hög	Standardval för de flesta företag
TOTP-kod (Microsoft Authenticator, Authy)	Hög	Hög	Bra komplement, fungerar offline
Hårdvarunyckel (FIDO2 / YubiKey)	Mycket hög	Medel	Administratörer, privilegierade konton, nyckelpersoner
Biometri (fingeravtryck, FaceID)	Hög	Mycket hög	Lokal enhetsautentisering, sällan ensamt
Certifikatbaserad autentisering	Mycket hög	Medel	Enterprise-miljöer, maskin-till-maskin

Rekommendation: Push-notis är ofta den bästa balansen mellan säkerhet och användarvänlighet för standardanvändare. För administratörer och privilegierade konton bör hårdvarunycklar enligt FIDO2-standarden vara obligatoriskt.

Vanliga MFA-attacker — och hur du försvarar dig

MFA stoppar majoriteten av kontoövertaganden, men moderna angripare har utvecklat specifika tekniker för att kringgå skyddet:

• MFA fatigue (push bombing) — angriparen skickar push-notiser upprepade gånger tills användaren tröttnar och godkänner av misstag. Motåtgärd: aktivera number matching i Microsoft Authenticator och utbilda användare.
• SIM-swap — angriparen tar över offrets telefonnummer hos operatören och fångar upp SMS-koder. Motåtgärd: använd inte SMS som primär MFA-faktor för viktiga konton.
• Adversary-in-the-middle (AiTM) — phishing-sidor (exempelvis via Evilginx) som kapar både lösenord och giltiga session-cookies i realtid. Motåtgärd: FIDO2/hårdvarunycklar är immuna mot AiTM eftersom de kräver domänmatchning.
• MFA bypass via session hijacking — stjäl redan autentiserade session-tokens. Motåtgärd: korta session-tider och villkorlig åtkomst (Conditional Access) baserad på risk.
• Consent phishing — användaren luras ge en malicious OAuth-app permanenta behörigheter som kringgår MFA. Motåtgärd: begränsa tredjepartsappars consent.

Var används MFA?

MFA blir alltmer standard och rekommenderas starkt för att skydda åtkomst till bland annat:

• E-post och molnplattformar (Office 365, Google Workspace, AWS, Azure)
• Fjärråtkomst (VPN)
• Bank- och finanstjänster
• Sociala medier och andra onlinekonton
• Kritiska affärssystem och administrativa gränssnitt

Att aktivera och använda MFA där det är möjligt är ett enkelt men kraftfullt steg för att skydda sig mot de vanligaste cyberhoten.

Lag- och regelkrav på MFA i Sverige

Allt fler regelverk kräver numera MFA för åtkomst till känsliga system:

• NIS2-direktivet ställer krav på multifaktorautentisering för entiteter i kritiska sektorer. Mer om NIS2.
• DORA (Digital Operational Resilience Act) kräver starka autentiseringsmetoder för finansiella entiteter. Mer om DORA.
• GDPR nämner inte MFA explicit, men Integritetsskyddsmyndigheten ser ofta avsaknad av MFA som bristande tekniska säkerhetsåtgärder vid incidenter. Mer om GDPR.
• PCI DSS v4.0 kräver MFA för all åtkomst till kortdatamiljöer.
• MSB:s rekommendationer för offentlig sektor pekar tydligt på autentiseringsappar och hårdvarunycklar framför SMS.

Viktiga punkter som togs upp om MFA:

• MFA (Multi-Factor Authentication) är en säkerhetsmetod som kräver att en användare presenterar minst två olika typer av bevis (faktorer) för att verifiera sin identitet, vilket ger ett avgörande säkerhetslager utöver ett ensamt lösenord.
• Implementering av MFA är det mest effektiva sättet att avsevärt minska risken för kontoövertagande, då en angripare måste ha tillgång till både lösenordet och den andra faktorn (t.ex. mobiltelefonen) för att lyckas med inloggningen.
• Faktorerna delas in i tre huvudkategorier: Något du vet (lösenord), Något du har (t.ex. app eller säkerhetsnyckel) och Något du är (biometri). En stark MFA-lösning kombinerar faktorer från minst två av dessa.
• MFA ger ett robust skydd mot vanliga cyberhot som phishing och automatiserade attacker (som brute-force och credential stuffing).
• SMS- och telefonbaserad autentisering är mer sårbar (t.ex. för SIM-kortsbedrägerier) och bör inte ses som förstahandsval. Starkare alternativ som autentiseringsappar (t.ex. Google/Microsoft Authenticator) eller fysiska säkerhetsnycklar rekommenderas starkt, särskilt för känslig information.

Vanliga frågor om MFA

Räcker det med MFA eller behöver jag också Zero Trust?

MFA är en grundpelare men inte hela lösningen. Zero Trust-arkitektur förutsätter att varje åtkomst verifieras, även efter inloggning. MFA löser autentisering, Zero Trust hanterar auktorisering och kontinuerlig verifiering.

Är SMS-baserad MFA säker?

SMS är bättre än ingen MFA alls, men sårbar för SIM-swap och SS7-attacker. MSB och andra myndigheter rekommenderar autentiseringsappar eller hårdvarunycklar för känsliga system.

Kan en angripare kringgå MFA?

Ja, genom tekniker som MFA fatigue, adversary-in-the-middle-phishing eller session hijacking. FIDO2-baserade hårdvarunycklar är den enda MFA-metoden som motstår alla kända bypass-tekniker.

Vilken MFA-metod ska jag välja för mitt företag?

Push-notifikationer i en autentiseringsapp för majoriteten av användarna, kompletterat med FIDO2-hårdvarunycklar för administratörer och privilegierade konton.