Morten Lyhne Petersen
Standardinställningen i Chrome samlar lösenord, kreditkort och historik på ett enda ställe – och blir hela kontot en bricka i händerna på en angripare.
När du loggar in i Chrome med ditt Google-konto slår webbläsaren på synkroniseringen med alternativet ”Synkronisera allt” som standard. Det betyder att lösenord, betalkort, adresser, bokmärken, öppna flikar och webbhistorik lyfts upp i molnet och delas mellan alla enheter där du är inloggad. Bekvämt, men också en enda punkt som en angripare kan sikta på för att komma åt hela ditt digitala liv på en gång.
Attacken kräver inte ens att någon knäcker ditt lösenord. Enligt en aktuell varning från Google ökade antalet e-postburna infostealers med 84 procent under 2024 jämfört med året innan, och phishing och åtkomstdatastöld ligger bakom 37 procent av alla lyckade intrång. Skadlig kod på datorn kan stjäla den sessionscookie som håller dig inloggad på Google – och därmed hoppa förbi både lösenord och tvåfaktor.
Så begränsar du vad Chrome lagrar
Kontrollen ligger begravd i inställningarna. Klicka på din profilbild uppe till höger i Chrome och välj Synkronisering är på.
Där kan du växla från Synkronisera allt till Anpassa synkronisering och sedan aktivt bocka ur det du inte vill lyfta upp i molnet. Google listar själva vad synkroniseringen omfattar – bland annat lösenord, betalinformation, webbhistorik, öppna flikar, bokmärken och tilläggsinställningar.
Ett rimligt minimum: stäng av synkronisering av lösenord och betalmetoder i Chrome och flytta över dem till en dedikerad lösenordshanterare. Aktivera samtidigt kryptering med lösenfras under samma meny, så att inte ens Google kan läsa den data som ändå synkas.
Aktivera passkeys och tvåfaktor
Ett starkt lösenord räcker inte längre när själva cookien kan stjälas. Slå på tvåfaktorautentisering via en autentiseringsapp på ditt Google-konto, och byt gärna helt till passkeys – en inloggningsmetod som är knuten till enheten och inte kan phishas som ett vanligt lösenord.
Ny teknik i Chrome ska stoppa cookie-tjuven
Google har börjat rulla ut en motåtgärd som ligger djupare i webbläsaren. I april 2026 gjorde bolaget Device Bound Session Credentials (DBSC) allmänt tillgängligt i Chrome på Windows, och tekniken har därefter aktiverats som standard i Google Workspace från den 25 maj 2026.
DBSC binder sessionscookien kryptografiskt till den specifika enhet du loggade in från, med hjälp av ett så kallat TPM-chip på Windows eller Secure Enclave på macOS. En cookie som stjäls från din dator blir därmed i praktiken oanvändbar på angriparens maskin, eftersom den inte kan verifieras utan den privata nyckel som aldrig lämnar hårdvaran.
Google skriver själv att man ”har observerat en betydande minskning av sessionsstölder” sedan lanseringen. Skyddet fungerar dock bara mot cookie-stöld på distans – synkade lösenord och betalkort som lyfts ut ur en komprometterad Chrome-installation faller fortfarande i orätta händer. Det är därför själva synkinställningen är värd en genomgång i dag, snarare än nästa gång du hör talas om ett dataintrång.
