Den telefon du sålde är fortfarande inloggad på dina konton

Telefonen från för två år sedan har länge varit i någon annans händer. Den har sålts, givits bort eller bytts in, och återställts till fabriksinställningarna först. De flesta ser det som slutet på historien.

Google gör inte det. På deras hjälpsida listas skälen till varför du kanske inte känner igen en enhet i ditt konto, och ett av dem är detta: ”Du har nyligen återställt din enhet till fabriksinställningarna. Enheten kan fortfarande visas.” Återställningen rensar telefonen. Den rensar inte posten i ditt konto. Åtkomsten kan överleva hårdvaran, och samma sak händer med ett gammalt mobilnummer.

De flesta har fler poster i dessa listor än de förväntar sig. Gamla telefoner, en bärbar dator från en tidigare arbetsgivare, en TV som man loggade in på en enda kväll. Varje post är en enhet som fortfarande kan nå kontot.

Ett nytt lösenord loggar inte ut alla enheter

Det vanliga antagandet är att ett lösenordsbyte loggar ut alla andra. Det gäller hos vissa tjänster men inte hos andra, och de flesta leverantörer säger ingenting alls om det. Aktiva sessioner är svagheten här. En stulen sessionscookie ger en angripare tillgång utan lösenord och utan den andra autentiseringsfaktorn.

Google är tydligast av dem alla. Om du byter lösenord där loggas du ut överallt, med tre undantag: enheter som du använder för att verifiera att det är du när du loggar in, vissa enheter med appar från tredje part som du har gett åtkomst till kontot, och smarta hem-enheter som du har gett åtkomst till kontot. En smart högtalare ingår i den sista gruppen.

Amazon beskriver också effekten, men endast i den engelska versionen av sina hjälpsidor: ”Om du byter lösenord loggas du ut från Amazons appar och webbplatser på alla enheter som inte är Kindle.” Kindle-enheter förblir inloggade.

Netflix gör det till en kryssruta. I deras hjälpcenter står det: ”Vi rekommenderar att du lämnar rutan Logga ut alla enheter markerad.” Avmarkerar du den rutan ändrar du lösenordet medan alla sessioner fortsätter att vara aktiva.

Microsoft, Apple och Instagram nämner ingenting om detta på sina officiella hjälpsidor. Apple håller de två sakerna åtskilda. I sin guide för ett konto som kan ha kapats är lösenordet steg ett, och att ta bort okända enheter kommer fyra steg senare som en separat åtgärd. Vi stötte nyligen på samma begränsning med app-lösenord, som inte påverkas alls av ett lösenordsbyte.

Du kan alltså inte lita på ett lösenordsbyte. Du måste ändå kontrollera enhetslistan.

Var finns listorna över enheter?

Varje tjänst gömmer dem på olika ställen, och flera har mer än en lista. Översikten nedan tar dig direkt dit. Två av dem har en knapp som loggar ut allt. Hos de övriga fem loggar du ut enhet för enhet.

Vad listorna inte avslöjar

En tom eller kort lista bevisar ingenting. Netflix anger uttryckligen att enheter kan saknas. Allt som inte har varit aktivt under de senaste 90 dagarna visas inte alls, och detsamma gäller enheter som endast används för Netflix-spel eller enbart för att nå Tudum. Det kan ta upp till 48 timmar innan en enhet dyker upp överhuvudtaget.

Microsoft anger samma fördröjning på upp till 24 timmar för sin egen lista, och det tar lika lång tid innan en utloggning träder i kraft. Xbox är undantagen från detta och förblir inloggad.

Apple har en egen hake. Om du tar bort en enhet som fortfarande är inloggad på ditt konto kommer den tillbaka. På hjälpsidan står det så här: ”Om du fortfarande är inloggad på ditt Apple-konto på enheten kan den dyka upp igen på skärmen för ditt Apple-konto nästa gång enheten ansluter till internet.” En telefon som du har sålt försvinner för gott först när du loggar ut från iCloud, Media & Köp, iMessage, FaceTime och Game Center på den, eller raderar den.

Tidsstämplarna är också mindre tillförlitliga än de verkar. Google påpekar att den visade tiden kan komma från synkronisering i bakgrunden snarare än från att någon faktiskt använde enheten. En post från i morse betyder inte att någon höll i den telefonen i morse.

WhatsApp rensar upp automatiskt, med två olika tidsinställningar

WhatsApp hanterar kopplade enheter bättre än de andra, eftersom tjänsten sköter rensningen åt dig. Det finns dock två separata tidsinställningar, och de förväxlas ofta. Om din huvudtelefon inte används på mer än 14 dagar loggas alla kopplade enheter ut. Om en enskild ansluten enhet står inaktiv kopplas just den bort efter 30 dagar. WhatsApp tillåter ändå högst fyra anslutna enheter samtidigt.

Det gör WhatsApp till undantaget. Ingenting upphör av sig självt hos någon av de andra tjänsterna, eller åtminstone inget som de dokumenterar.

10 minuter, en genomgång

Gå igenom de sju adresserna från översikten en efter en. Logga ut från varje post som du inte kan placera direkt. Att av misstag logga ut en av dina egna enheter kostar dig en ny inloggning. Att missa en som inte är din kostar mer.

Tänk på tre saker medan du gör det. Flera rader med samma enhetsnamn kan tillhöra en enhet eller flera, och Google rekommenderar att du loggar ut från alla om du är osäker. Hos Apple måste du också logga ut på själva enheten, annars kommer posten tillbaka. Och hos Microsoft och Netflix träder utloggningen i kraft först efter några timmar, så en omedelbar ny kontroll visar fortfarande det gamla läget.

Om en enhet dyker upp som du inte känner igen alls är utloggningen bara det första steget. Byt lösenord därefter och kontrollera dina inställningar för tvåfaktorsautentisering.