Tappad telefon, låst konto: vad som verkligen hjälper nu

Din telefon är borta. Stulen, tappad i en sjö – det spelar ingen roll. Du kan fortfarande lösenordet till ditt Google-konto, men Google kräver nu tvåfaktorsautentisering, och den informationen fanns på telefonen som du inte längre har.

Det här är ögonblicket som avgör om du förlorar en eftermiddag eller ett konto. Beslutet i sig fattades mycket tidigare, den dag du aktiverade tvåfaktorsinloggning.

Vi har gått igenom återställningsrutinerna hos Google, Apple och Microsoft, och sedan hos 1Password, Bitwarden och Dashlane. Alla sex handlar i grunden om samma sak. Ingenting kan ställas in i efterhand. Varje återväg måste vara utstakad innan du behöver den.

I vår artikel om säkerhetsnycklar raderas alla registreringar på enheten efter åtta felaktiga inmatningar i rad. Den här gången är det inte en hårdvaruenhet som försvinner. Det är din inkorg.

Vad leverantörerna faktiskt efterfrågar

Den enkla vägen är densamma hos alla tre stora leverantörerna: en andra enhet som fortfarande är inloggad. Utan en sådan minskar alternativen snabbt.

Google accepterar en annan inloggad telefon, ett andra registrerat nummer, en reservkod, en säkerhetsnyckel eller en passnyckel från en annan enhet. Reservkoderna är den del som folk underskattar. Tio stycken, åtta siffror vardera, var och en giltig för en enda användning. Generera en ny uppsättning så upphör den gamla att gälla omedelbart.

Apple behandlar din iPhone-kod som en fullvärdig återställningsfaktor. Den ”används också för att återställa lösenordet till ditt Apple-konto och för att återställa dina end-to-end-krypterade data om du förlorar åtkomsten till ditt konto”. Numret du trycker på för att låsa upp din telefon gör mycket mer än att skydda låsskärmen.

Microsoft delar inte ut någon uppsättning koder alls. Du får exakt en 25-siffrig återställningskod, och du kan inte hämta den senare: ”Du kan inte hämta eller ladda ner en befintlig återställningskod för ett Microsoft-konto.”

Väntetiden är det verkliga problemet

Förlorar du den andra faktorn hamnar du i kontoåterställning. Det tar tid, och det är avsiktligt.

Google anger en tidsram: ”Det kan ta 3–5 arbetsdagar för Google att verifiera att det är du.” Att lägga till ett nytt telefonnummer i sista minuten hjälper inte, eftersom ”det kan ta upp till 7 dagar innan ändringarna träder i kraft”.

Googles senaste säkerhetsnät har samma hake. Återställningskontakter låter upp till tio personer du litar på bekräfta vem du är. Kontakten har sju dagar på sig att acceptera, och det går ytterligare en vecka innan kontakten kan användas överhuvudtaget. När du väl behöver det är dörren stängd: ”Du kan inte lägga till en återställningskontakt medan du är utelåst från ditt konto eller befinner dig i kontoåterställningsprocessen.”

Apple anger inget antal dagar, bara ”flera dagar eller längre”, och besvarar själv den uppenbara följdfrågan. ”Kan väntetiden förkortas? Nej.”

Microsoft är undantaget. Återställningsformuläret skickas tillbaka inom 24 timmar, förutsatt att tvåfaktorsinloggning är avstängd. Om du byter ut all säkerhetsinformation på kontot låser Microsoft det i 30 dagar.

Tre fallgropar som nästan ingen känner till

Microsofts 30-dagarsperiod kan endast förkortas med det du just har förlorat. På hjälpsidan står det: ”Vi kan inte påskynda 30-dagarsprocessen om du inte avbryter begäran.” Och för att avbryta: ”Du behöver tillgång till dessa säkerhetsbevis för att slutföra avbrytningsbegäran.” Om tvåfaktorsinloggning är aktiverad och inget av de sparade alternativen längre fungerar för dig, ger Microsoft dig en fras som man sällan ser i ett supportdokument: ”Vi kan tyvärr inte hjälpa dig.”

Apple avbryter en pågående återställning så fort du använder kontot. Ingen varning, inget meddelande: ”Om ditt Apple-konto används under din begäran kommer återställningen av ditt konto att avbrytas automatiskt.” En iPad som står i vardagsrummet, fortfarande inloggad, räcker. Den enda enheten du får fortsätta använda är den du startade begäran på.

Säkerhetskopieringen av Authenticator misslyckas just för det konto som du skulle förvänta dig att den skulle täcka. För lösenordsfria Microsoft-konton innehåller säkerhetskopian endast kontonamnet och inget annat: ”Då säkerhetskopieras endast kontonamnet. När du återställer måste du logga in igen.” Utöver detta finns det en plattformsbarriär: ”Konton som säkerhetskopierats med en iOS-enhet kan inte återställas på en Android-enhet.” Byt från iPhone till Android och säkerhetskopian är värdelös.

Med lösenordshanterare är det verkligen över

Google och Apple kommer så småningom att släppa in dig igen, så länge du kan bevisa tillräckligt. Med lösenordshanterare finns det ingen sådan instans. Familje- och teampaket är undantaget, där en organisatör eller administratör kan återställa ditt lösenord. Betala för ditt eget konto så finns det ingen över dig.

Bitwarden uttrycker det utan omsvep: ”Bitwardens anställda och system har ingen kännedom om, möjlighet att hämta eller återställa ditt huvudlösenord.” Om du förlorar den andra faktorn: ”Det finns inget sätt för Bitwarden att återställa kontot eller dess data. Du måste radera ditt konto och skapa ett nytt.” Återställningskoden som skulle rädda dig finns i inställningarna, bakom inmatningsfältet för huvudlösenordet. Den hjälper bara den person som skrev ner den i förväg.

1Password bidrar till ett utbrett missförstånd. Den 34 tecken långa hemliga nyckeln ser ut som en nödkod, men är inte det: ”Din hemliga nyckel är inte: En säkerhetskod. Den låter dig inte logga in om du glömmer lösenordet till ditt 1Password-konto.” Sedan 2024 finns det en riktig återställningskod. Den fungerar mer än en gång, men endast om du fortfarande har åtkomst till det e-postkonto som är registrerat.

Dashlane är den enda av de tre som skickar nya koder via SMS när den andra autentiseringsfaktorn inte längre fungerar. Den återställer inte heller huvudlösenordet. Istället erbjuder den en återställningsnyckel samt biometrisk återställning på Android och iPhone.

Vad du ska göra idag

Skriv ut dina återställningskoder. Fotografera dem inte och spara dem inte i den lösenordshanterare som du försöker skydda. Apple förklarar detta tydligt för sin återställningsnyckel: inte i appen Lösenord, inte i iCloud Drive, eftersom ”om du förlorar åtkomsten till ditt Apple-konto kommer du inte att kunna öppna dessa appar för att hitta den”.

Lägg in en andra autentiseringsfaktor på en andra enhet. En surfplatta, en gammal reservnyckel, en autentiserare på din arbetsdator. Att ha en enda telefon som innehåller den enda autentiseringsfaktorn är det misstag som allt annat bygger på, och det är det första vi säger till folk som frågar hur man säkrar ett konto ordentligt.

Lägg till dina betrodda kontakter nu. Google tillåter tio återställningskontakter, Apple fem. Båda kräver förberedelsetid, och hos Google innebär det sju dagar två gånger om.

Tänk noga igenom återställningsnyckeln. Aktivera den hos Apple så stängs den normala processen av. Tappar du bort nyckeln och dina enheter efter det kommer du att ”låsas ute från ditt konto permanent”.