Yubico och Okta 2026: varför säkerhetsexperter fortfarande använder lösenord

Ett nytt internationellt säkerhetsunderlag från svenska Yubico och Okta visar en tydlig motsättning mellan kunskap och faktisk inloggningssäkerhet. I undersökningen uppger 43 procent av de tillfrågade it- och cybersäkerhetsexperterna att användarnamn och lösenord fortfarande är deras primära inloggningsmetod på arbetet. Studien, som presenterades den 7 oktober 2026, bygger på svar från närmare 2 000 experter i nio länder. Den visar inte att exakt 43 procent av alla svenskar använder osäkra lösenord, men väcker en praktisk fråga: hur kan företag och privatpersoner minska risken för kapade konton?

Vad har Yubico och Okta undersökt?

Den fjärde globala autentiseringsstudien samlade in svar från yrkespersoner med erfarenhet av it och säkerhet. Företagen ville undersöka hur människor verkligen loggar in, vilka hot de ser och varför moderna skyddsåtgärder inte alltid används. Det är en beställd undersökning från aktörer som själva erbjuder produkter och tjänster för identitetssäkerhet. Resultaten bör därför läsas med hänsyn till urval, frågeformuleringar och företagens intressen, även när de lyfter fram verkliga säkerhetsproblem. Studien ersätter inte nationell statistik över alla svenska internetanvändare.

Vad betyder siffran 43 procent?

Enligt rapportens sammanfattning använder 43 procent traditionella användarnamn och lösenord som huvudsakligt sätt att logga in på jobbet. Det betyder inte att dessa personer saknar alla andra skydd; en del kan dessutom använda flerfaktorsautentisering i vissa tjänster. Primär metod och fullständig säkerhetsnivå är två olika saker. Siffran visar snarare att en etablerad teknik lever kvar också i organisationer där användarna förstår riskerna. För beslutsfattare är detta en signal om att rutiner och standardinställningar påverkar säkerheten.

Vad är en passkey?

En passkey är en modern metod för inloggning som bygger på kryptografiska nyckelpar. En privat nyckel stannar på användarens enhet eller i en säker, synkroniserad lösning, medan en motsvarande offentlig nyckel kan registreras hos tjänsten. Inloggningen godkänns vanligtvis med enhetens PIN-kod, fingeravtryck eller ansiktsigenkänning. Webbtjänsten behöver då inte jämföra ett inskrivet lösenord som lätt kan luras fram genom ett falskt formulär. Passkeys kan kraftigt minska risken för klassiskt nätfiske, men kontots återställningsvägar måste också skyddas.

Varför är passkeys svårare att nätfiska?

Traditionellt nätfiske går ofta ut på att lura någon att ange lösenord och engångskod på en sida som ser äkta ut. En korrekt implementerad passkey är kopplad till den riktiga tjänstens webbdomän och ska inte kunna användas på en bedragarsida med ett annat domännamn. Det innebär en viktig teknisk skillnad: användaren förväntas inte själv upptäcka varje visuellt fel i en kopierad inloggningssida. Samtidigt kan en angripare försöka lura människor via kundsupport, kontoåterställning eller skadlig programvara. Inga skydd ersätter helt goda rutiner.

Vad är en fysisk säkerhetsnyckel?

En hårdvarunyckel är en separat enhet som kan lagra eller använda kryptografiska autentiseringsuppgifter. Den ansluts vanligen via USB eller kontaktlöst gränssnitt och kan användas för säker inloggning i tjänster som stöder rätt standard. För ett särskilt viktigt konto kan två registrerade nycklar vara praktiskt: en i dagligt bruk och en säkert förvarad reserv. Kompatibilitet måste kontrolleras för den aktuella tjänsten och enheten. En hårdvarunyckel som lämnas i en oskyddad miljö är inte automatiskt en fullständig säkerhetslösning.

Vad säger undersökningen om AI-styrda attacker?

I materialet uppger 44 procent att deras organisation drabbats av minst en lyckad AI-driven attack under det senaste året. Den uppgiften beskriver respondenternas erfarenheter och studiens definitioner, inte en officiell nationell andel för svenska företag. Samtidigt uppges 39 procent av experterna ha misslyckats med att skilja AI-genererad text från mänskligt skriven text. Det understryker varför utbildning i att upptäcka konstiga formuleringar inte är tillräckligt. Teknisk autentisering och väl utformade processer behövs vid sidan av användarnas vaksamhet.

Räcker SMS-koder som extra skydd?

En engångskod via SMS är i många sammanhang bättre än endast ett lösenord. Den kan dock angripas genom exempelvis social manipulation, kapning av mobilnummer eller falska inloggningssidor som vidarebefordrar koden. Appbaserade engångskoder kan minska vissa risker men är fortfarande möjliga att lura fram. Passkeys och säkerhetsnycklar som är knutna till tjänstens domän erbjuder starkare skydd mot flera vanliga nätfiskemetoder. Vilket alternativ som fungerar bäst beror på tjänstens stöd, risknivå och användarens möjligheter att hantera återställning.

Hur börjar man som privatperson i Sverige?

Börja med det viktigaste kontot: primär e-post, lösenordshanterare eller kontot som styr återställningen av andra tjänster. Se om leverantören erbjuder passkeys och registrera en metod enligt den officiella hjälpsidan. Kontrollera vilka enheter som har åtkomst och hur en förlorad mobil kan ersättas. Aktivera flerfaktorsautentisering där passkeys saknas och använd unika, starka lösenord. Banken, e-legitimationen och andra samhällsviktiga tjänster har ibland egna säkerhetsflöden som ska följas, snarare än allmänna instruktioner på sociala medier.

Vad bör ett litet företag prioritera?

Ett mindre företag behöver börja med identiteter som kan orsaka störst skada om de kapas: administratörer, e-post, ekonomi, molntjänster och domänregistrering. Inför stark multifaktor där tjänsterna stöder det, kontrollera behörigheter och skapa en säker rutin när en anställd slutar. Testa också återställningsprocessen och ge personalen ett sätt att rapportera misstänkta försök utan rädsla. En dyr produkt kan inte kompensera för att alla administratörer delar samma lösenord eller att gamla konton fortfarande är aktiva.

Kan passkeys användas mellan olika mobiler och datorer?

Vissa passkeys synkroniseras via betrodda tjänster mellan enheter, medan andra är bundna till en fysisk nyckel eller en viss enhet. Båda varianterna har för- och nackdelar. Synkronisering kan underlätta vardagen, men lägger större vikt vid skyddet av användarens huvudsakliga konto. Enhetsbundna nycklar kan ge tydligare kontroll men kräver reservrutiner. Innan man byter mobil bör man kontrollera hur kritiska passkeys flyttas eller återskapas, annars finns risk att åtkomsten till viktiga tjänster blir besvärlig.

Varför är återställningen en svag punkt?

Ett konto kan ha mycket stark inloggning men ändå kunna kapas om en bedragare övertygar kundsupporten att byta återställningsadress. Företag bör därför skydda hjälpdeskens rutiner med identitetskontroll och tydliga godkännanden. Privatpersoner kan kontrollera reservadresser, telefonnummer och inloggade enheter med jämna mellanrum. För personer som använder säkerhetsnyckel bör det finnas en säkert förvarad reserv där tjänsten tillåter det. Planeringen ska göras innan en enhet försvinner, inte först efter stölden.

Vad innebär mänsklig kontroll över AI-agenter?

Studien lyfter också att 91 procent av de tillfrågade ledarna efterfrågar ett godkännande från en människa innan autonoma AI-agenter genomför kritiska åtgärder. En sådan princip kan vara relevant när ett system kan överföra pengar, ändra behörigheter eller skicka meddelanden externt. Godkännandet behöver vara verkligt och knutet till rätt identitet, inte ett klick som alla rutinmässigt accepterar. Loggning, behörighetsgränser och möjlighet att återkalla åtkomst är lika viktiga som valet av inloggningsmetod.

Vad säger studien inte?

Undersökningen bevisar inte att passkeys gör alla attacker omöjliga, att alla lösenordsanvändare redan blivit hackade eller att Sverige har exakt samma resultat som hela urvalet. De angivna procentsatserna bygger på respondenternas svar. Resultaten ger en bra anledning att granska skyddet men är ingen individuell diagnos av ett företags system. Ett ansvarsfullt säkerhetsarbete utgår från faktiska konton, hot, tekniska möjligheter och återhämtningsrutiner, inte från en siffra som lösryckts ur rapportens sammanhang.

Vanliga frågor

Är ett långt lösenord fortfarande användbart? Ja, särskilt där tjänster saknar passkeys; använd helst en lösenordshanterare. Måste man köpa en fysisk nyckel? Nej, många tjänster stöder passkeys på mobil och dator. Fungerar alla appar? Nej, kompatibiliteten varierar. Är SMS en tillräcklig lösning för alla konton? Det är bättre än ingen extra faktor, men ofta finns starkare alternativ. Vad är det viktigaste första steget? Skydda primär e-post och kontoåterställning.