Chrome Password Manager Sårbar: 67% i Danmark [2026]

En sikkerhedsrapport fra Palo Alto Networks’ trusselsenhed Unit 42 satte i starten af august 2026 fokus på et problem, mange havde overset: den kodeordsmanager, langt de fleste danskere allerede bruger uden at tænke over det. Google Password Manager, som er indbygget i Chrome, viste sig sårbar over for tre distinkte angrebsteknikker, der kan kapre synkroniserede passkeys uden at offeret nogensinde ser en pop-up, et fingeraftryksscan eller en PIN-kode. Samtidig fik Chrome i sommer patchet to separate sårbarheder i selve password manager-komponenten, som kunne lække data på tværs af websites. Med Chrome siddende på 67,44 procent af det danske desktop-browsermarked i juli 2026, ifølge StatCounter, er det ikke en niche-historie. Det er en historie om den kodeordsløsning, størstedelen af danske internetbrugere rent faktisk stoler på hver dag.

Sagen rammer et skrøbeligt punkt i sikkerhedsbranchens fortælling om passkeys. I årevis har budskabet været, at passkeys løser kodeordsproblemet en gang for alle, fordi de ikke kan phishes eller genbruges på tværs af sites. Unit 42’s forskning viser noget andet: hvis din maskine allerede er inficeret med malware, kan den underliggende infrastruktur bag Googles passkey-synkronisering udnyttes til at omgå selve den beskyttelse, passkeys skulle levere. Det rejser et spørgsmål, som både private brugere og virksomheder i Norden nu må forholde sig til: hvor meget tillid kan man reelt lægge i en browser-indbygget løsning, og hvordan skiller den sig fra dedikerede password managers som Bitwarden eller 1Password, som shattered.io tidligere har dækket i detaljer.

Hvad er Pass-ta-key-angrebet?

Den 3. august 2026 offentliggjorde Unit 42, forskningsafdelingen hos Palo Alto Networks, en rapport med titlen “Pass the Passkey”, der beskriver tre separate angrebsveje mod Google Password Managers cloud-baserede autentifikator i Chrome. Forskerne døbte dem Pass-ta-key, Silver Pass-ta-key og Golden Pass-ta-key, ifølge dækningen fra The Hacker News. Fælles for alle tre er, at de forudsætter, at offerets Windows-maskine allerede er kompromitteret af malware, der kører med almindelige brugerrettigheder. Ingen administratoradgang, ingen kerneexploit er nødvendig.

Det, angrebene rammer, er ikke den lokale passkey-lagring på disken, men det, forskerne kalder Google Cloud Authenticator, altså det lag der ligger bag Google Password Manager og synkroniserer passkeys mellem enheder. Ifølge The Hacker News kan de tre teknikker tilsammen lade malware “stille og roligt opnå en gyldig autentifikationsbekræftelse, installere en angriberkontrolleret brugerverifikationsnøgle, eller udtrække den 32-byte lange Security Domain Secret, der bruges til at dekryptere synkroniserede passkey-private nøgler.” Den sidstnævnte teknik, Golden Pass-ta-key, går efter selve hovednøglen, der beskytter alle brugerens synkroniserede passkeys på tværs af enheder, hvilket gør den til den mest alvorlige af de tre.

Det mest foruroligende element er fraværet af synlige advarselstegn. Ifølge en russisksproget analyse af rapporten kan angrebene gennemføres uden fingeraftryk, uden PIN-kode og uden at der overhovedet dukker en anmodning op på ofrets skærm. Det betyder, at et offer, der tror sig beskyttet af moderne, phishing-resistent autentifikation, reelt kan blive udsat for et login-hijack uden nogensinde at få en advarsel.

Sådan fungerer de tre angrebsteknikker i praksis

De tre teknikker er trinvist mere alvorlige. Den første, simple Pass-ta-key, giver malware mulighed for at generere en gyldig autentifikationsbekræftelse for en enkelt session, hvilket i praksis svarer til at logge ind som offeret én gang. Silver Pass-ta-key går et skridt videre ved at installere en brugerverifikationsnøgle, som angriberen selv kontrollerer, og som relying parties (altså de tjenester, brugeren logger ind på) vil acceptere som legitim fremadrettet. Det giver angriberen vedvarende adgang, ikke bare et enkelt login.

Golden Pass-ta-key er den mest kritiske af de tre, fordi den ekstraherer selve Security Domain Secret direkte fra Chromes hukommelse, mens browseren kører. Med den nøgle i hånden kan en angriber i teorien dekryptere alle brugerens synkroniserede passkeys, ikke bare til én tjeneste, men på tværs af samtlige konti, hvor brugeren har aktiveret passkey-login via sin Google-konto. 9to5Google beskrev konsekvensen kort og præcist: bestemte websites kan blive narret til at tro, at brugerens Chrome-baserede passkey er ægte, når den i virkeligheden er blevet kapret, ifølge 9to5Google.

Det er værd at understrege forudsætningen igen: alle tre teknikker kræver, at maskinen i forvejen er inficeret. Det er ikke et fjernangreb mod en frisk, upåvirket computer. Men det er netop den detalje, der gør sagen kompliceret, for hele pointen med passkeys har været, at de skal beskytte brugeren, selv når andre led i sikkerhedskæden svigter, herunder når en enhed bliver inficeret med informationsstjælende malware. Hvis passkey-laget kan omgås af almindelig brugerrettighedsmalware, mister det en del af sin praktiske fordel over kodeord plus totrinsbekræftelse.

CVE-2026-11083 og CVE-2026-11032: To separate datalæk-sårbarheder

Sideløbende med Pass-ta-key-rapporten kørte en anden, teknisk uafhængig sag: to sårbarheder i selve Chrome Password Manager-komponenten, registreret som CVE-2026-11083 og CVE-2026-11032. Ifølge sårbarhedsdatabasen hos Tenable skyldtes begge en fejlagtig implementering i Password Manager, som gjorde det muligt for en fjernangriber at lække data på tværs af origins via en særligt udformet HTML-side. Chromiums eget sikkerhedsteam klassificerede begge sager som “medium” alvorlighed.

Begge fejl er klassificeret under CWE-346, kendt som Origin Validation Error, og for CVE-2026-11032 er der offentliggjort en konkret CVSS 3.1-score på 6,5, ifølge analysen hos OpenCVE. Angrebsvektoren kræver, at offeret besøger en ondsindet hjemmeside, hvorefter Password Manager-komponenten fejlagtigt kan afsløre data, der hører til et andet website end det, brugeren aktuelt besøger. Det er alene et fortrolighedsproblem, ikke noget der giver angriberen mulighed for at ændre data eller lamme systemet, men i en password manager-kontekst er selv et begrænset datalæk potentielt alvorligt.

Begge sårbarheder blev rettet i Chrome 149.0.7827.53, en opdatering der dækker Windows, macOS og Linux samtidig, fordi Password Manager-komponenten er en del af den fælles browserkerne på tværs af platforme. Det praktiske råd fra samtlige distributørrådgivninger, herunder SUSE og Ubuntus sikkerhedsteam, er entydigt: opdater Chrome til version 149.0.7827.53 eller nyere. De fleste brugere med automatiske opdateringer aktiveret vil allerede have modtaget rettelsen, men virksomheder med centralt styrede Chrome-installationer bør tjekke deres versionsstatus eksplicit.

Hvorfor Google ikke tildelte Pass-ta-key en CVE

Et af de mest interessante aspekter af sagen er Googles håndtering af klassificeringen. Unit 42-forskeren Arie Olshtein forklarede til The Hacker News, at ingen CVE blev tildelt Pass-ta-key-teknikkerne, fordi Google efter eget udsagn sjældent tildeler CVE-numre til problemer, der forudsætter, at enheden allerede er kompromitteret af malware. Det er en politik, der giver mening ud fra en snæver definition af, hvad en sårbarhed i selve softwaren er, men den efterlader et gråzoneproblem: angrebet er reelt, dokumenteret og har konkrete konsekvenser, men det får ikke det formelle sporingsnummer, som sikkerhedsteams, patch-værktøjer og compliance-rapportering normalt er bygget op omkring.

Det betyder i praksis, at virksomheder, der scanner deres miljø for kendte CVE’er som en del af deres sårbarhedsstyring, ikke automatisk vil fange Pass-ta-key-risikoen. Det er et argument for, at trusselsintelligens og leverandørrapporter som Unit 42’s skal indgå som selvstændig kilde ved siden af de traditionelle CVE-feeds, særligt for danske og nordiske virksomheder omfattet af NIS2, hvor dokumenteret overvågning af trusselsbilledet er et krav i sig selv, ikke kun patch-styring af nummererede sårbarheder.

Passkeys skulle være sikrere end kodeord: Hvad gik der galt?

Passkey-teknologien har de seneste tre år været industriens foretrukne svar på kodeordsproblemet. Ifølge FIDO Alliance’s rapport “The State of Passkeys 2026”, offentliggjort 7. maj 2026, er der nu 5 milliarder passkeys i aktiv brug globalt, med 90 procent kendskab blandt forbrugere og 75 procent, der har aktiveret mindst én passkey på en konto, ifølge FIDO Alliance. Google gjorde passkeys til standardvalg for personlige konti i oktober 2023, og Microsoft fulgte efter i maj 2025, ifølge sikkerhedsanalysefirmaet Descope.

Selve grundprincippet i passkeys er stadig solidt: en kryptografisk nøgle, der er unik for hver tjeneste, kan ikke genbruges på tværs af sites og kan derfor ikke phishes på samme måde som et kodeord. Problemet, Pass-ta-key illustrerer, ligger ikke i selve WebAuthn-protokollen, men i, hvordan Google har implementeret synkroniseringslaget, der gør det muligt at bruge den samme passkey på flere enheder. Bekvemmeligheden ved cloud-synkronisering, som er en af de vigtigste årsager til, at passkeys overhovedet er blevet massedistribueret så hurtigt, introducerer samtidig et nyt angrebsoverfladepunkt: hukommelsen i den browserproces, der håndterer synkroniseringen.

Det er en klassisk sikkerhedsafvejning. Jo mere bekvem en løsning er, desto flere komponenter er der typisk involveret, og desto større bliver angrebsoverfladen. En hardware-sikkerhedsnøgle, hvor den private nøgle aldrig forlader en fysisk enhed, er stort set immun over for den type malware-baseret hukommelsesudtræk, Golden Pass-ta-key udnytter. En softwarebaseret, cloud-synkroniseret passkey i en browser er, som denne sag viser, i sidste ende kun så sikker som selve endpointet, den kører på.

Sådan rammer sagen Danmark og Norden

Danmark er et af de mest Chrome-tunge markeder i Europa. Ifølge StatCounter-tal for juli 2026 lå Chromes andel af det danske desktop-browsermarked på 67,44 procent, langt foran nummer to, Microsoft Edge, på 14 procent. Det betyder, at et flertal af danske internetbrugere, der har aktiveret passkeys uden at have taget et aktivt valg om en dedikeret password manager, reelt bruger netop den infrastruktur, Unit 42’s rapport undersøgte.

Browser	Markedsandel, desktop, Danmark (juli 2026)
Google Chrome	67,44%
Microsoft Edge	14,00%
Apple Safari	9,57%
Mozilla Firefox	4,11%
Opera	2,09%
Samsung Internet	1,40%

Kilde: StatCounter Global Stats, juli 2026. Tallene dækker desktop-trafik og inkluderer ikke mobil, hvor Safari typisk står stærkere i Danmark på grund af iPhones høje udbredelse.

For danske og nordiske virksomheder underlagt NIS2-direktivet betyder det, at password- og passkey-hygiejne på medarbejderes Chrome-installationer ikke kan behandles som et perifert problem. Hvis en enkelt medarbejders maskine bliver inficeret med informationsstjælende malware, en trussel der i forvejen er udbredt i Norden, kan konsekvensen nu potentielt strække sig til at inkludere kompromittering af synkroniserede passkeys, ikke kun klassiske kodeord og cookies. Det ændrer ikke prioriteringen af grundlæggende endpoint-sikkerhed, men det understreger, hvor afgørende det stadig er, at malware slet ikke får fodfæste i første omgang.

Indbygget password manager versus dedikerede løsninger

Sagen rejser igen spørgsmålet om, hvorvidt en gratis, indbygget password manager i browseren er godt nok, eller om en dedikeret løsning som Bitwarden eller 1Password, som shattered.io tidligere har gennemgået, giver et reelt sikkerhedsmæssigt løft. Svaret er nuanceret. Dedikerede password managers er ikke immune over for angreb, hvis en enhed i forvejen er inficeret med malware, men de har typisk en snævrere, mere specialiseret kodebase med sikkerhed som eneste formål, i modsætning til en browser, der samtidig skal håndtere rendering, udvidelser, netværksstakke og et hav af andre funktioner i samme procesrum.

Egenskab	Chrome / Google Password Manager	Dedikeret password manager (fx Bitwarden)
Pris	Gratis, indbygget	Gratis til ca. 60-70 kr./md. afhængig af udbyder
Passkey-synkronisering	Ja, via Google Cloud Authenticator	Ja, hos flere store udbydere i 2026
Uafhængig sikkerhedsrevision	Intern Chromium-sikkerhedsproces	Ofte tredjeparts penetrationstest og audits
Isoleret fra browserprocessen	Nej, kører i samme proces som browseren	Delvist, afhængig af arkitektur og udvidelse
Platformsuafhængighed	Bundet til Google-konto og Chromium-baserede browsere	Fungerer på tværs af browsere og operativsystemer
Kendt sag i 2026	Pass-ta-key, CVE-2026-11083, CVE-2026-11032	ETH Zürich-audit fandt 25 angrebsscenarier i Bitwarden, LastPass og Dashlane

Tabellen viser en pointe, der ofte forsvinder i debatten: ingen løsning er risikofri. Shattered.io har tidligere dækket, hvordan forskere fra ETH Zürich fandt 25 forskellige angrebsscenarier på tværs af Bitwarden, LastPass og Dashlane. Forskellen ligger snarere i, hvor eksponeret angrebsoverfladen er, og hvor hurtigt og gennemsigtigt udbyderen håndterer fund. En dedikeret password manager, der er isoleret fra selve browserprocessen, reducerer i teorien risikoen for netop den type hukommelsesudtræk, Golden Pass-ta-key demonstrerer, men eliminerer den ikke fuldstændigt, hvis operativsystemet i forvejen er kompromitteret.

Historisk kontekst: Fra kodeordslækager til passkey-æraen

For at forstå, hvorfor denne sag betyder noget, er det værd at se på, hvor branchen kom fra. I mere end to årtier har genbrugte, svage kodeord været den enkeltstående største kilde til kontokompromittering. Store datalæk, phishingkampagner og credential stuffing-angreb har gentagne gange udnyttet, at brugere genbruger det samme kodeord på tværs af tjenester. Svaret fra industrien blev totrinsbekræftelse, og siden 2023 for alvor passkeys, bygget på FIDO2- og WebAuthn-standarderne, som gør phishing af selve loginoplysningerne stort set umuligt, fordi den private nøgle aldrig forlader brugerens udstyr og aldrig sendes over netværket.

Det, Pass-ta-key-sagen viser, er en naturlig, om end ubehagelig, næste fase i det våbenkapløb. Når en forsvarsmekanisme bliver udbredt nok, flytter angriberne fokus fra selve mekanismen til de systemer, der implementerer og synkroniserer den. Det samme mønster så man tidligere med totrinsbekræftelse, hvor angribere gik fra at forsøge at gætte kodeord til i stedet at target SIM-swapping og session-token-tyveri. Passkeys er ikke blevet mindre sikre som koncept, men den infrastruktur, der gør dem bekvemme at bruge på tværs af enheder, er blevet det næste mål.

Markedseffekt: Hvad betyder det for password manager-branchen

For dedikerede password manager-udbydere er sagen på papiret en mulig konkurrencefordel, som flere formentlig vil bruge aktivt i deres markedsføring i de kommende måneder. Samtidig er der en risiko for, at hele passkey-kategorien lider et omdømmetab, hvis medierne og brugerne ikke skelner mellem et implementeringsproblem hos én udbyder og en fundamental svaghed i selve teknologien. Det ville være uheldigt, for FIDO Alliances tal viser stadig en klar sikkerhedsgevinst ved passkeys sammenlignet med rene kodeord, også selvom implementeringen ikke er perfekt overalt.

For Google selv er sagen en del af et bredere mønster af sikkerhedshovedpine i 2026. Ifølge sårbarhedstrackeren Stack.watch er der registreret 2.140 sårbarheder i Google Chrome i løbet af 2026 frem til august, sammenlignet med 247 for hele 2025. Tallet dækker den samlede mængde registrerede sårbarheder og skal læses med det forbehold, men uanset den præcise metode bag opgørelsen, understøtter det et billede af et browserøkosystem under vedvarende og stigende sikkerhedspres, blandt andet fordi Chrome ifølge The Hacker News alene i tre opdateringer i juli 2026 rettede 1.442 fejl på tværs af den underliggende kodebase.

Det praktiske resultat for markedet er formentlig en gradvis forskydning mod, at store organisationer stiller krav om, at password managers og passkey-implementeringer kan dokumentere isolation fra browserprocessen, uafhængig sikkerhedsrevision og hurtig patch-kadence, snarere end blot at vælge den løsning, der allerede er indbygget og gratis.

Sådan beskytter du dig selv lige nu

Det vigtigste modtræk mod Pass-ta-key er ikke at ændre passkey-opsætning, men at reducere risikoen for, at maskinen overhovedet bliver inficeret med malware, fordi alle tre teknikker forudsætter netop det. Herunder er de konkrete skridt, sikkerhedsforskere og distributørrådgivninger anbefaler.

Opdater Chrome til version 149.0.7827.53 eller nyere for at lukke CVE-2026-11083 og CVE-2026-11032.
Sørg for, at antivirus/EDR-løsning er opdateret og aktiv, da alle tre Pass-ta-key-teknikker kræver et forudgående malware-fodfæste.
Undgå at installere browserudvidelser fra ukendte kilder, da det er en almindelig infektionsvej til den type malware, angrebet forudsætter.
Overvej en dedikeret password manager med dokumenteret ekstern sikkerhedsrevision til de mest følsomme konti, som supplement til Chromes indbyggede løsning.
For virksomheder: gennemgå, om centralt administrerede Chrome-installationer er opdateret til den patchede version, og medtag Unit 42’s rapport i den løbende trusselsvurdering, selvom den ikke har et CVE-nummer.
Aktiver, hvor det er muligt, en fysisk sikkerhedsnøgle som supplement for de mest kritiske konti, fordi hardwarebaserede nøgler ikke er sårbare over for hukommelsesudtræk fra browserprocessen.

Konkurrenceoverblik: Google, Apple og Microsofts passkey-strategier

De tre store platformsudbydere har valgt forskellige tilgange til, hvordan passkeys synkroniseres, hvilket har direkte betydning for, hvor eksponeret hver enkelt er over for en Pass-ta-key-lignende sag. Apple synkroniserer passkeys via iCloud Keychain med ende-til-ende-kryptering knyttet til brugerens Apple-ID, og adgang kræver typisk enhedens egen biometri eller adgangskode, uafhængigt af browserprocessen. Microsoft fulgte efter Google og gjorde passkeys til standard for personlige konti i maj 2025, med synkronisering via Microsoft-kontoen på tværs af Windows Hello og Authenticator-appen.

Google har den bredeste udbredelse i kraft af Chromes markedsdominans, men det betyder også, at en implementeringssvaghed i Google Cloud Authenticator potentielt rammer et langt større antal brugere end en tilsvarende sag hos konkurrenterne ville gøre. Ingen af de tre platforme har på nuværende tidspunkt offentliggjort en fuldstændig teknisk sammenligning af, hvor modstandsdygtige deres respektive synkroniseringslag er over for endpoint-malware, hvilket i sig selv er en svaghed i gennemsigtigheden på tværs af hele branchen.

Fem forudsigelser for det næste år

Flere sikkerhedsforskningsfirmaer vil offentliggøre lignende rapporter om synkroniseringslag hos Apple og Microsoft i løbet af 2026-2027, i takt med at passkeys bliver et mere attraktivt mål i takt med udbredelsen.
Google vil sandsynligvis introducere yderligere hukommelsesbeskyttelse eller isolation omkring Security Domain Secret i en kommende Chrome-opdatering, uden nødvendigvis at kalde det et direkte svar på Pass-ta-key.
Dedikerede password manager-udbydere vil intensivere markedsføring, der fremhæver arkitektonisk isolation fra browserprocessen som et centralt salgsargument.
Flere brancheorganisationer, herunder muligvis FIDO Alliance selv, vil offentliggøre reviderede anbefalinger til, hvordan cloud-synkroniserede passkeys bør beskyttes mod endpoint-kompromittering.
Danske og nordiske virksomheder under NIS2 vil i stigende grad kræve dokumentation for password- og passkey-arkitektur som en del af deres leverandørsikkerhedsvurderinger, ikke kun klassisk CVE-baseret patch-styring.

Ofte stillede spørgsmål

Er Chrome Password Manager usikkert at bruge?

Nej, ikke i almindelig forstand. Pass-ta-key-angrebene kræver, at maskinen allerede er inficeret med malware. Så længe enheden er ren og Chrome er opdateret til version 149.0.7827.53 eller nyere, er den daglige risiko lav for de fleste brugere.

Skal jeg slå passkeys fra i Chrome?

Nej. Passkeys er stadig markant mere phishing-resistente end almindelige kodeord. Løsningen er at holde enheden fri for malware og holde browseren opdateret, ikke at gå tilbage til kodeord.

Hvordan ved jeg, om min Chrome-version er opdateret?

Gå til Chrome-menuen, vælg Hjælp og derefter “Om Google Chrome”. Browseren tjekker automatisk for opdateringer og viser, om du kører version 149.0.7827.53 eller nyere.

Er dedikerede password managers som Bitwarden mere sikre end Chrome?

De har typisk en snævrere kodebase og oftere ekstern sikkerhedsrevision, men de er ikke immune, som shattered.io’s dækning af ETH Zürich-auditten af Bitwarden, LastPass og Dashlane viser. Ingen løsning er risikofri, hvis operativsystemet i forvejen er kompromitteret.

Har Google udsendt en patch specifikt mod Pass-ta-key?

Der er ikke offentliggjort en dedikeret patch eller et CVE-nummer for selve Pass-ta-key-teknikkerne, fordi Google klassificerer dem som et post-kompromitteringsscenarie. De to relaterede sårbarheder, CVE-2026-11083 og CVE-2026-11032, er derimod rettet i Chrome 149.0.7827.53.

Rammer sagen også Chrome på Android eller iOS?

Unit 42’s rapport fokuserer specifikt på scenarier, hvor en Windows-maskine allerede er kompromitteret. Det udelukker ikke risiko på andre platforme, men den offentliggjorte forskning er afgrænset til desktop-scenariet.

Hvor mange bruger passkeys i dag?

Ifølge FIDO Alliance er der cirka 5 milliarder passkeys i aktiv brug globalt per maj 2026, med 75 procent af forbrugerne, der har aktiveret mindst én passkey på en konto.

Bør virksomheder ændre deres NIS2-dokumentation på grund af denne sag?

Det er værd at medtage Unit 42’s rapport i den løbende trusselsvurdering, selv uden et tilknyttet CVE-nummer, da NIS2 stiller krav om dokumenteret overvågning af det aktuelle trusselsbillede, ikke kun styring af nummererede sårbarheder.

Relaterede historier

Læs mere om privatliv og digital sikkerhed på shattered.io’s privatlivssektion.

Chrome Password Manager Sårbar: Rammer 67% i Danmark [2026]