--- id: "phishing-011" title: "AiTM-phishing: Hvorfor selv MFA og 2FA-koder stjæles på falske login-sider" description: "Lær hvordan AiTM-phishing omgår totrinsbekræftelse via session cookie hijacking. Få tekniske råd til CISO og IT-sikkerhedsansvarlige." canonical: https://startbrain.io/da/cybersikkerhed/aitm-phishing-session-cookie-omgaaelse-mfa-2fa/ slug: "aitm-phishing-session-cookie-omgaaelse-mfa-2fa" date: "2026-09-29" category: "phishing" product: "superphisher" lang: da author: "Brain Security · F&U Cyber & Den Menneskelige Faktor" frameworks: "CFCS · D-mærket · NIS 2 · DORA · Datatilsynet · ISO 27001" --- # AiTM-phishing: Hvorfor selv MFA og 2FA-koder stjæles på falske login-sider I årevis har udrulningen af multifaktor-autentificering (MFA) været anset som den ultimative forsvarslinje mod kompromittering af brugeroplysninger. For CISO'er, IT-sikkerhedsansvarlige og direktionen har kravet om engangskoder via SMS eller push-notifikationer i Microsoft Authenticator neutraliseret langt størstedelen af traditionelle phishing-angreb. Desværre smuldrer denne tryghed i takt med den eksplosive stigning i AiTM-angreb (Adversary-in-the-Middle). I dag kan en medarbejder samvittighedsfuldt indtaste sit kodeord og godkende sit andet faktor-login på sin smartphone, mens angriberen samtidigt opnår fuld adgang til virksomhedens cloud-miljø og mailboks. Trusselsaktører forsøger ikke længere at gætte eller knække adgangskoder: de omgår direkte adgangskontrollen. En dybdegående teknisk forståelse af denne angrebsvektor er blevet uundværlig for at tilpasse virksomhedens forsvar og medarbejdernes træning, særligt under skærpede standarder som NIS 2 og D-mærket. --- ## Hvordan opsnapper et AiTM-phishingkit sessions-tokens trods totrinsbekræftelse? > **Kort fortalt: Et AiTM-kit fungerer som en ondsindet reverse proxy, der i realtid videresender forespørgsler mellem offeret og den legitime cloud-tjeneste. Når brugeren godkender sin MFA-udfordring, udsteder den rigtige server en sessions-cookie, som angriberen straks opsnapper for at overtage sessionen.** I modsætning til klassiske phishing-sider, der blot kopierer en login-formular for at gemme tastetryk, benytter AiTM-infrastrukturer en dynamisk proxy-arkitektur: - **Dynamisk videresendelse i realtid:** Angriberen opsætter en reverse proxy på et vildledende domænenavn. Når medarbejderen klikker på linket, henter angriberens proxy-server den ægte login-side fra udbyderen (f.eks. Microsoft 365 eller Google Workspace) og spejler den direkte tilbage til offeret. - **Opsnapning af første faktor:** Brugeren indtaster brugernavn og adgangskode. Proxy-serveren sender øjeblikkeligt disse informationer videre til den legitime tjeneste, som derefter kræver det sædvanlige andet trin. - **Gennemførelse af MFA:** Offeret modtager en push-besked eller en sekscifret TOTP-kode på sin telefon og godkender forespørgslen i god tro. Brugeroplevelsen er identisk med et normalt login-flow. - **Kapring af sessions-cookien:** Når MFA-godkendelsen er verificeret, udsteder den legitime cloud-server en godkendt sessions-cookie for at holde brugeren logget ind. Det er netop dette værdifulde token, som AiTM-proxyen stjæler ud af datastrømmen, før brugeren viderestilles til en ufarlig landingsside. Med denne gyldige sessions-cookie behøver angriberen hverken adgangskode eller yderligere MFA-godkendelser. Ved at injicere cookien i sin egen browser glider angriberen direkte forbi identitetskontrollen og ind i virksomhedens interne systemer uden at udløse traditionelle alarmer. --- ## Hvorfor er klassiske 2FA-metoder utilstrækkelige mod session-hijacking? > **Kort fortalt: Traditionelle MFA-løsninger som SMS-koder, TOTP-apps og almindelige push-notifikationer er ikke kryptografisk bundet til det specifikke weblink. De beviser brugerens identitet her og nu, men validerer ikke ægtheden af den URL, browseren kommunikerer med.** Engangskoder genereret via authenticator-apps eller SMS har en grundlæggende sårbarhed: de baserer sig på menneskelig indtastning. Så længe et menneske kan læse en talrække og taste den ind i et tekstfelt, kan personen manipuleres til at indtaste den på en proxy-styret side. ### Svagheden ved push-beskeder og talmatchning Selv avancerede push-notifikationer med talmatchning (number matching) kan overlistes af moderne AiTM-værktøjer. Den ondsindede reverse proxy videresender blot det tal, som den legitime server viser, og præsenterer det for brugeren. Brugeren vælger tallet på sin mobil i den tro, at alt er normalt. ### Nødvendigheden af FIDO2 og phishing-resistent MFA For at lukke dette sikkerhedshul rykker IT-sikkerhedsbranchen og myndigheder som Center for Cybersikkerhed (CFCS) mod phishing-resistent MFA baseret på FIDO2- og WebAuthn-standarderne (hardwarenøgler og Passkeys): - **Kryptografisk domænebinding:** Ved FIDO2-autentificering kommunikerer browseren direkte med sikkerhedschippen i hardwarenøglen eller enheden. Browseren overfører automatisk den præcise oprindelses-URL for webstedet. - **Automatisk afvisning ved falske domæner:** Hvis medarbejderen befinder sig på et vildledende domæne (eksempelvis `login-sikker-portal.com` i stedet for det officielle domæne), nægter den kryptografiske nøgle at signere anmodningen, fordi domæneoprindelsen ikke matcher. AiTM-proxyen modtager intet brugbart, og der kan ikke udstedes nogen sessions-cookie. --- ## Hvordan beskytter I jeres organisation mod AiTM-angreb i praksis? Udrulning af FIDO2-hardwarenøgler på tværs af hele organisationen kræver planlægning og budgettering. Mens denne overgang finder sted, kan en række operationelle tiltag reducere jeres risiko markant. ### Hærdning af Conditional Access-politikker Minimer levetiden og brugbarheden af stjålne sessions-cookies ved hjælp af præcise adgangsregler: - **Krav om overholdelse af enhedspolitikker:** Tillad kun adgang til følsomme cloud-ressourcer fra registrerede, compliant enheder administreret via MDM (Mobile Device Management). - **Geografiske begrænsninger og registrering af umulig rejseaktivitet:** Konfigurer automatisk blokering ved umulige lokationsskift (impossible travel), for eksempel hvis en bruger godkender en session i København, og der to minutter efter udføres API-kald fra en anden verdensdel. - **Forkortelse af sessionstokens:** Reducer gyldighedsperioden for inaktive websessioner for at tvinge hyppigere genautentificering igennem på kritiske systemer. ### Træning af medarbejderne i URL-verifikation Det svageste led i ethvert AiTM-angreb er selve domænenavnet. Angriberen kan aldrig registrere det nøjagtige domæne, der tilhører jeres rigtige cloud-leverandør. Medarbejdernes kritiske opmærksomhed på adresselinjen i browseren udgør derfor fortsat et afgørende forsvarslag. For at gøre denne årvågenhed til en naturlig vane, skal medarbejderne trænes i realistiske scenarier. Med [Super Phisher](/en-us/catalog/super-phisher/), vores træningsplatform til phishing-simuleringer, der udrulles i samarbejde med vores eksperter, udfordres medarbejderne med moderne, virkelighedstro angrebsteknikker, så de lærer at gennemskue domæneanomalier før indtastning af legitimationsoplysninger. --- ## En integreret cyberforsvarsstrategi mellem teknik og adfærd AiTM-angreb illustrerer med al tydelighed, hvordan trusselsaktørernes metoder konstant raffineres. At forlade sig blindt på ét teknisk sikkerhedsværktøj uden sideløbende at styrke medarbejdernes adfærd skaber en farlig, falsk tryghed i organisationen. Det mest robuste forsvar etableres i krydsfeltet mellem tekniske foranstaltninger (såsom FIDO2 og Conditional Access) og løbende, praksisnær træning i social engineering. Ønsker I at teste organisationens modstandsdygtighed over for nutidens avancerede angrebsmønstre og designe et målrettet træningsforløb? [Book en uforpligtende dialog](/en-us/book-a-demo/) med vores team for at se vores interaktive læringsformater i aktion. ### 15 / 30 / 60 / 90-Day Rollout Plan: AiTM-phishing: Hvorfor selv MFA og 2FA-koder stjæles på falske login-sider | Horizon | Priority Workstream | Operational Implementation | Reference Section | | --- | --- | --- | --- | | **D+15 · Scope** | Dynamisk videresendelse i realtid | Angriberen opsætter en reverse proxy på et vildledende domænenavn. Når medarbejderen klikker på linket, henter angriberens proxy-server den ægte… | Hvordan opsnapper et AiTM-phishingkit sessions-tokens trods… | | **D+30 · Pilot** | Kryptografisk domænebinding | Ved FIDO2-autentificering kommunikerer browseren direkte med sikkerhedschippen i hardwarenøglen eller enheden. Browseren overfører automatisk den… | Hvorfor er klassiske 2FA-metoder utilstrækkelige mod… | | **D+60 · Rollout** | Krav om overholdelse af enhedspolitikker | Tillad kun adgang til følsomme cloud-ressourcer fra registrerede, compliant enheder administreret via MDM (Mobile Device Management). | Hvordan beskytter I jeres organisation mod AiTM-angreb i… | | **D+90 · Audit** | Opsnapning af første faktor | Brugeren indtaster brugernavn og adgangskode. Proxy-serveren sender øjeblikkeligt disse informationer videre til den legitime tjeneste, som derefter… | Hvordan opsnapper et AiTM-phishingkit sessions-tokens trods… | --- ## Læs videre: relaterede artikler og løsninger fra Brain Security ### Relaterede artikler om dette emne - **[Social engineering pa professionelle netvaerk: Nar et falsk jobtilbud skjuler et cyberangreb](/da/cybersikkerhed/social-engineering-falske-jobtilbud-it-sikkerhed/)** (Phishing & Social Engineering) : Opdag hvordan trusselsaktorer udnytter professionelle netvaerk og falske jobtilbud til at ramme medarbejdere og omga perimeterforsvaret. - **[Rapporteringsrate for phishing: Hvorfor CISOen skal droppe klikraten](/da/cybersikkerhed/rapporteringsrate-phishing-ciso-it-sikkerhed/)** (Phishing & Social Engineering) : Opdag hvorfor rapporteringsraten overgår klikraten, når CISOen skal reducere risikoeksponeringen og styrke IT-sikkerheden i organisationen. - **[Baiting og inficerede USB-stik: Hvorfor nysgerrighed forbliver en effektiv angrebsvektor](/da/cybersikkerhed/baiting-usb-stik-fysisk-cybersikkerhed/)** (Phishing & Social Engineering) : Opdag hvordan et baiting-angreb med USB-stik rammer virksomheden, og hvilke fysiske sikkerhedsrutiner der effektivt lukker sårbarheden. - **[Cybersikkerhed i HR og rekruttering: Spot inficerede CV'er og falske AI-kandidater](/da/cybersikkerhed/cybersikkerhed-hr-rekruttering-cv-deepfake-angreb/)** (Industries & Roles) : Lær hvordan I beskytter jeres HR-team mod ondsindede CV-vedhæftninger, falske profiler og deepfake-kandidater i videointerviews. ### Udforsk Brain Securitys løsninger på vores hjemmeside - **Relateret løsning : [Super Phisher](/en-us/catalog/super-phisher/)** : Realistiske phishingsimuleringer (Super Phisher): træn medarbejdere i at opdage og rapportere social engineering. - **[Se use cases efter sikkerhedsmål og branche](/en-us/use-cases/)** - **[Sammenlign vores formater til cyber- og AI-bevidsthed](/en-us/compare/)** - **[Udforsk hele det interaktive katalog fra Brain Security](/en-us/catalog/)** - **[Tal med vores team om jeres behov (demo og opsætning)](/en-us/book-a-demo/)** --- - https://startbrain.io/da/cybersikkerhed/aitm-phishing-session-cookie-omgaaelse-mfa-2fa/ - [Français](https://startbrain.io/fr/cybersecurite/attaque-aitm-adversary-in-the-middle-vol-session/) - [Deutsch](https://startbrain.io/de/cybersecurity/aitm-phishing-mfa-session-hijacking-schutz/) - [English (UK)](https://startbrain.io/en-gb/cybersecurity/aitm-phishing-session-cookie-theft-mfa-bypass/) - [English (US)](https://startbrain.io/en-us/cybersecurity/aitm-phishing-session-cookie-bypass-mfa/) - [Español](https://startbrain.io/es/cyberseguridad/phishing-aitm-robo-sesion-mfa-doble-autenticacion/) - [Italiano](https://startbrain.io/it/sicurezza-informatica/phishing-aitm-furto-codice-2fa-cookie-sessione/) - [Nederlands](https://startbrain.io/nl/cybersecurity/aitm-phishing-mfa-bypass-sessiecookie-beveiliging/) - [Português](https://startbrain.io/pt/ciberseguranca/phishing-aitm-roubo-sessao-mfa-protecao/) - [日本語](https://startbrain.io/ja/cybersecurity/aitm-phishing-mfa-bypass-session-cookie-theft/) - [Polski](https://startbrain.io/pl/cyberbezpieczenstwo/phishing-aitm-omijanie-2fa-kradziez-sesji-mfa/) - [Svenska](https://startbrain.io/sv/cybersakerhet/aitm-phishing-kringga-mfa-sessionsstold/) - [Suomi](https://startbrain.io/fi/kyberturvallisuus/aitm-phishing-mfa-istuntotietojen-kaappaus/) - [Norsk](https://startbrain.io/no/cybersikkerhet/aitm-phishing-mfa-sesjonskapsler-sikkerhet/) - [English (Canada)](https://startbrain.io/en-ca/cybersecurity/aitm-phishing-session-cookie-bypass-mfa/) - [llms.txt](https://startbrain.io/llms.txt)