De fleste av oss har en mental snubletråd for «kontoen min er blitt hacket»: en e-post om tilbakestilling av passord vi ikke ba om, en tekstmelding om en innlogging fra en ukjent by, en konto som plutselig er låst. Denne snubletråden ga mening da hovedtrusselen var at noen gjettet eller brute-forcet passordet ditt. Den gjør nesten ingen nytte mot tilgangsmetodene som dukker opp i nylige hendelser, som er spesialbygget for å unngå å utløse den.

To eksempler fra de siste ukene illustrerer mønsteret. Malwarebytes dokumenterte en WhatsApp-svindel (publisert 3. august 2026) der ofre blir ledet gjennom det som ser ut som «WhatsApp Web-oppsett» — noen ganger på det ekte wa.me-domenet — og ender opp med å taste inn en kode som kobler angriperens enhet til kontoen deres. Ingen passord tastes inn noe sted, så ingen e-post om tilbakestilling av passord utløses, og ingen varsel om mislykket innlogging utløses. Angriperens enhet blir bare enda en stille oppføring på kontoens liste over tilkoblede enheter, med full lese- og sendetilgang, som de deretter bruker til å kjøre den samme svindelen på ofrets kontakter. Microsoft advarte separat om en kampanje de kaller «CaptiveCrunch», som fanger opp reisende på captive-portaler for Wi-Fi på hoteller og konferanser, og omdirigerer dem til falske innloggingssider som høster ikke bare passord, men også enhetskoder og OAuth-tokener — legitimasjon som gir tilgang uten noen gang å generere den typen «ny innlogging»-varsel en passordendring ville gjort.

Den felles tråden: begge angrepene retter seg mot økt- og autorisasjonsmekanismer — tilkoblede enheter, OAuth-tillatelser, enhetskoder — snarere enn selve passordet. Kontoens innebygde varsling ble designet for å overvåke fordøren. Disse metodene kommer inn gjennom en sidedør den ikke overvåker.

Hva du faktisk bør gjøre med det

Du kan ikke vente på et varsel som aldri kommer. I stedet bør du behandle det å sjekke dine egne tilkoblede enheter og autoriserte apper som en rutine du selv gjennomfører, på samme måte som du sjekker batteriene i røykvarsleren. Her er en konkret gjennomgang, i rekkefølge:

1. Sjekk tilkoblede/aktive enheter i meldingsapper

  • WhatsApp: Innstillinger → Tilkoblede enheter. Trykk på alt du ikke kjenner igjen, og velg «Logg ut».
  • Telegram: Innstillinger → Enheter. Samme prinsipp — avslutt enhver økt som ikke tilhører en enhet du fysisk holder i hånden akkurat nå.
  • Signal: Innstillinger → Tilkoblede enheter, samme sjekk.

2. Sjekk aktive økter og tredjepartsapper med tilgang til hovedkontoene dine

  • Google: myaccount.google.com/security → «Your devices» og «Third-party apps with account access». Fjern tilgangen til alt du ikke kjenner igjen, og vær spesielt oppmerksom på apper du ga tilgang for måneder eller år siden og har glemt — en gammel tillatelse er like nyttig for en angriper som en fersk.
  • Microsoft: account.microsoft.com/security → «Sign-in activity» og «App permissions».
  • Apple ID: Innstillinger → [ditt navn] → sjekk enhetslisten nederst.
  • Facebook/Instagram: Innstillinger → «Where you're logged in» / «Active sessions», samt «Apps and websites» for tilkoblet tredjepartstilgang.

3. Vær mistenksom overfor enhver prosess som ber deg taste inn en kode i stedet for et passord

Legitime prosesser for å «koble til denne enheten» bruker faktisk koder — det er ikke i seg selv et faresignal. Det som bør stanse deg, er utløseren: hvis en forespørsel om å taste inn en kode dukker opp på grunn av en melding fra en kontakt («stem på meg», «sjekk dette ut»), en captive-portal på offentlig Wi-Fi, eller en hvilken som helst lenke du ikke selv initierte, bør du behandle den som fiendtlig inntil det motsatte er bevist. Lukk den, og naviger direkte til appen eller kontoen i stedet for å fortsette fra lenken.

4. Sjekk om e-postadressen din har dukket opp i et kjent datainnbrudd

Have I Been Pwned (haveibeenpwned.com), drevet av sikkerhetsforskeren Troy Hunt, er en gratis og veletablert tjeneste for å sjekke om e-postadressen din finnes i kjente datainnbrudd — den er troverdig nok til at nasjonale myndigheter bruker den for sine egne domener (Nepals nasjonale senter for cybersikkerhet ble den 47. myndigheten som tok den i bruk, ifølge omtaler denne uken). Den vil ikke fange opp et kompromiss av en tilkoblet enhet, men det er en rask og gratis sjekk som er verdt å kjøre på hoved-e-postadressene dine, og det er det riktige første steget hvis du mistenker et kontoproblem og ikke vet hvor du skal begynne.

5. På nettverk du ikke stoler på — Wi-Fi på hotell, konferanser eller flyplasser — bør du unngå å logge inn på noe sensitivt gjennom selve captive-portalsiden

Hvis innloggingssiden for Wi-Fi på et hotell eller et arrangement ber om en programvareoppdatering, viser en «sikkerhetssjekk»-dialog, eller krever Microsoft/Google-innlogging før du får internettilgang, bør du være på vakt — koble til først, og gjennomfør deretter de faktiske innloggingene dine over mobildataforbindelsen på telefonen eller en VPN, i stedet for gjennom hvilken som helst side nettverket serverer deg.

Sett det inn i kalenderen

En enkelt oppryddingsrunde løser dagens problem, men ikke neste kvartals. Velg en tilbakevendende påminnelse — hvert kvartal er en fornuftig frekvens, eller knytt den til noe du allerede gjør regelmessig, som et årstidsskifte eller en tilbakevendende regning — og gå gjennom trinn 1 og 2 ovenfor for de to eller tre viktigste kontoene dine: hoved-e-posten, meldingsappen du bruker mest, og enhver konto knyttet til økonomien din. Det tar under femten minutter når du vet hvor menyene er, og det er den eneste pålitelige måten å oppdage tilgang som var spesialdesignet for ikke å varsle deg.