Slå på to-faktor på spillkontoen din
Denne guiden viser hvordan du slår på to-faktor på en spillkonto, hvilken metode som gir best beskyttelse, og hva du gjør når mobilen blir borte. Den er skrevet for deg som har en konto med saldo og lagret betalingsmetode, og som vil gjøre det vanskeligere for andre å komme inn. Vi har lest rådene fra Nasjonal sikkerhetsmyndighet, de amerikanske NIST-retningslinjene og Norsk Tippings egne sider om innlogging, og vi skiller tydelig mellom det som er dokumentert og det som varierer fra operatør til operatør.
Hva to-faktor beskytter på en spillkonto
To-faktor stopper den vanligste måten spillkontoer blir overtatt på, nemlig at noen har fått tak i passordet ditt fra en lekkasje et helt annet sted. Når innloggingen i tillegg krever noe du har, som en kode fra mobilen eller en fysisk nøkkel, er passordet alene ikke nok. Nasjonal sikkerhetsmyndighet (NSM) anbefaler privatpersoner å bruke to-faktor der tjenesten tilbyr det, og å ha ett unikt passord per tjeneste.
På en spillkonto står det mer på spill enn på de fleste andre innlogginger.
Kontoen har som regel en lagret betalingsmetode, en saldo og en uttaksfunksjon, og den som kommer inn kan i verste fall endre uttakskontoen før du merker noe. Mange operatører krever KYC-dokumentasjon før første uttak, men den kontrollen er laget for å avdekke hvitvasking og feil identitet. Den stopper ikke en inntrenger som allerede er logget inn på en konto som er verifisert fra før. Derfor hører to-faktor hjemme på selve innloggingen, med endring av uttakskonto som et ekstra kontrollpunkt der operatøren tilbyr det.
Norsk Tipping, som sammen med Norsk Rikstoto har enerett på pengespill i Norge, krever BankID når du blir kunde. Hos operatører uten norsk tillatelse varierer oppsettet mye, og to-faktor er ofte et valg du må slå på selv.
Slik aktiverer du to-faktor steg for steg
Stegene under følger rekkefølgen de fleste kontoinnstillinger bruker, selv om menynavnene varierer fra operatør til operatør. Ha mobilen og en penn klar før du begynner, for reservekodene skal skrives ned og ikke lagres som skjermbilde.
- Steg 1
Installer en autentiseringsapp før du begynner
Last ned en autentiseringsapp fra App Store eller Google Play, for eksempel Google Authenticator eller Microsoft Authenticator. Appen lager engangskoder som vanligvis skifter hvert 30. sekund, og den virker uten mobildekning. - Steg 2
Finn sikkerhetsinnstillingene i kontoprofilen din
Logg inn på spillkontoen fra operatørens egen nettside eller app, ikke via en lenke i e-post eller SMS. Åpne profilen og se etter menypunkter som «Sikkerhet», «Innlogging» eller «Tofaktorautentisering». - Steg 3
Velg autentiseringsapp framfor SMS som metode
Tilbyr operatøren begge deler, velger du appen. SMS-koder kan fanges opp hvis noen overtar mobilnummeret ditt, og det amerikanske standardorganet NIST klassifiserer derfor SMS som en begrenset metode. - Steg 4
Skann QR-koden og bekreft med kode
Operatøren viser en QR-kode som du skanner med appen. Appen legger da til kontoen og viser en engangskode, som du taster inn på nettsiden for å bekrefte at koblingen virker. - Steg 5
Skriv ned reservekodene og lagre dem trygt
De fleste operatører viser et sett reservekoder bare én gang. Skriv dem ned på papir og oppbevar dem et annet sted enn mobilen, slik at du kommer inn på kontoen hvis telefonen blir borte. - Steg 6
Logg ut og test innloggingen på nytt
Logg ut av alle økter og logg inn igjen for å bekrefte at koden faktisk blir etterspurt. Slå samtidig på e-postvarsler om ny innlogging og endret uttakskonto, hvis operatøren tilbyr det.
Når mobilen blir borte eller byttes ut
Reservekodene er det som skiller en tapt telefon fra en låst konto. Uten dem må du gjennom operatørens gjenopprettingsprosess, og den innebærer i de fleste tilfeller en ny identitetskontroll med gyldig legitimasjon.
Operatørene oppgir sjelden en fast frist for slik gjenoppretting, og mens saken behandles er både spill og uttak som regel stengt.
Skal du bytte telefon, flytter du autentiseringsappen før den gamle enheten tilbakestilles. Flere apper har en egen funksjon for sikkerhetskopi eller overføring, men sjekk at kopien er beskyttet med et eget passord. Alternativet er å koble fra den gamle enheten i kontoinnstillingene og skanne en ny QR-kode med den nye telefonen mens du fortsatt er innlogget.
Mister du mobilen helt, er rekkefølgen viktig. Sperr SIM-kortet hos mobiloperatøren først, slik at ingen kan motta SMS-koder på nummeret ditt, og logg deretter inn på spillkontoen med en reservekode for å fjerne den gamle enheten. Har du BankID-appen på samme telefon, sperrer du den hos banken i samme runde. Telenor har selv fortalt at kriminelle har forsøkt å rekruttere ansatte for å aktivere eksisterende telefonnumre på nye SIM-kort, så risikoen ved å la et tapt nummer stå åpent er ikke teoretisk.
To-faktor-metodene satt opp mot hverandre
| Metode | Hva du trenger | Kjent svakhet | Hva kildene sier | Utbredelse |
|---|---|---|---|---|
| SMS-kode | Mobilnummer med dekning | SIM-bytte og nummerkapring | Begrenset metode hos NIST | Vanlig standardvalg |
| Autentiseringsapp | App på mobilen | Falske innloggingssider | Godkjent type hos NIST | Valgfritt i kontoinnstillinger |
| BankID | BankID-app eller kodebrikke | Godkjenning startet av svindler | Krav for kunder hos Norsk Tipping | Brukt av norske tilbydere |
| Fysisk sikkerhetsnøkkel | USB- eller NFC-nøkkel | Må kjøpes og kan mistes | Anbefalt av NSM | Lite utbredt på spillkontoer |
SMS-kode eller autentiseringsapp i praksis
Autentiseringsappen er det sikreste valget de fleste spillkontoer tilbyr, mens SMS er det enkleste å komme i gang med. NIST, som utgir de mye brukte amerikanske retningslinjene for digital identitet, har gitt SMS og talesamtaler status som «begrenset» metode. Etter retningslinjene skal en tjeneste som fortsatt bruker SMS, tilby minst ett sikrere alternativ og informere brukerne om risikoen.
SMS er likevel langt bedre enn ingen to-faktor i det hele tatt.
Begge metodene har samme blindsone. En falsk innloggingsside kan be deg taste inn både passord og kode, og sende dem videre til den ekte siden før koden utløper. Telenor har beskrevet en variant av dette med BankID, der offeret godkjenner en innlogging som svindleren selv har startet. Forsvaret er det samme uansett metode: gå alltid inn via operatørens egen adresse eller app, og sjekk at navnet i godkjenningsvinduet stemmer med stedet du prøver å logge inn på.
Slik står SMS og app mot hverandre
Radene under setter de to vanligste metodene opp mot hverandre på punktene som betyr noe i hverdagen. Der begge har samme svakhet, står de likt.
SMS-kode | Autentiseringsapp |
|---|---|
| Krever mobildekning for å motta koden | Virker uten dekning, også i utlandet |
| Kan fanges opp ved SIM-bytte | Knyttet til enheten, ikke til nummeret |
| Virker på alle mobiler uten oppsett | Krever installasjon og skanning av QR-kode |
| Sårbar for falske innloggingssider | Like sårbar for falske innloggingssider |
To-faktor, uttak og norske regler
To-faktor handler til syvende og sist om hvem som får tilgang til pengene. Hos Norsk Tipping må appen aktiveres med BankID før du kan slå på innlogging med Face ID eller Touch ID. Kunder uten BankID kan logge inn med mobilnummer, fødselsdato og en engangskode på SMS, noe som er svakere fordi fødselsdatoen ikke er noen hemmelighet.
Operatører uten norsk tillatelse er en annen sak.
Pengespilloven § 4 forbyr å tilby pengespill rettet mot det norske markedet uten tillatelse fra norske myndigheter, og betalingsformidling av innsats og gevinst til slike spill er forbudt. Når en bank avviser et kortinnskudd til en slik side, er det derfor som regel bankens sperre som slår inn, og ikke en feil hos operatøren. For deg som spiller betyr det at kontosikkerheten hos en utenlandsk operatør ikke er underlagt norsk tilsyn. Blir kontoen tømt, er klagemulighetene dessuten langt svakere enn hos en norsk tilbyder.
Uansett hvor du spiller, gjelder det samme utgangspunktet. Slå på den sterkeste to-faktor-metoden operatøren tilbyr, og bruk et passord som ikke finnes på noen annen konto.
Relaterte begreper
Spørsmål om to-faktor på spillkontoen
Er to-faktor og totrinnsbekreftelse det samme?
Ja, i praksis. Begge betyr at innloggingen krever noe du vet, som passordet, og noe du har, som en kode fra mobilen eller en fysisk nøkkel. NSM bruker begge begrepene om det samme.
Kan du bruke kode på e-post som to-faktor?
Noen operatører tilbyr det, men det er den svakeste varianten. Den som har tilgang til e-posten din, får da begge faktorene samtidig. NIST godtar ikke e-post som kanal for flerfaktorautentisering.
Har kontoen hos Norsk Tipping allerede to-faktor?
Innlogging med BankID gir to faktorer fra start. Alternativet med mobilnummer, fødselsdato og SMS-kode er svakere, fordi fødselsdatoen ikke er en hemmelighet og SMS kan kapres ved SIM-bytte.
Hva gjør du hvis reservekodene er borte?
Er du fortsatt innlogget, kan du som regel lage nye koder i sikkerhetsinnstillingene. Har du mistet både mobil og koder, må du kontakte kundeservice og gjennom en ny identitetskontroll.
Kan to-faktor gjøre uttakene tregere?
Selve kodeinntastingen forsinker ikke uttaket merkbart. Forsinkelser skyldes som regel KYC-kontroll og operatørens egen behandlingstid, men enkelte operatører krever ny bekreftelse når uttakskontoen endres.
Mer om nettcasinoer
Det vi ser etter først, er om operatøren krever to-faktor når uttakskontoen endres, i tillegg til ved innlogging. Et oppsett som bare vokter døren, lar en åpen økt på en delt maskin endre hvor pengene går. Finner du ikke den innstillingen, kan du spørre kundeservice og be om svaret skriftlig.