Millioner af X-brugere (tidligere Twitter), som gjorde “alt rigtigt” for kontosikkerhed, har tilbragt de sidste 24 timer låst ude, fanget i endeløse to-faktor-autentificeringssløjfer og mødt af en forvirrende besked:
“Du skal tilmelde din YubiKey igen.”
Fejlen er direkte forbundet med Elon Musks langvarige forsøg på at slette de sidste spor af twitter.com og flytte login fuldstændigt til x.com — et brand- og domæneskifte, som kritikere allerede har kaldt en af de mest rodede rebrandinger i tech-branchen. [1]
Her er, hvad der skete, hvad der er nyt i dag (13. november 2025), og hvad du kan gøre, hvis din X-konto i øjeblikket sidder fast i autentificeringshelvede.
Hvad skete der: X’s sikkerhedsnøgle-skift går galt
Den 24.–27. oktober advarede X stille og roligt brugere om, at hvis de brugte en hardware-sikkerhedsnøgle (som en YubiKey) eller passkey til to-faktor-autentificering (2FA), så skulle de tilmelde den igen til det nye x.com-domæne inden 10. november 2025, ellers risikerede de at blive låst ude. [2]
X’s Safety-team understregede dengang, at:
- Ændringen var “ikke relateret til nogen sikkerhedshændelse,”
- Det kun påvirkede sikkerhedsnøgler og passkeys,
- Og det var nødvendigt, fordi disse nøgler er kryptografisk bundet til twitter.com, som X ønsker at udfase. [3]
Sikkerhedsmedier som BleepingComputer og The Register forklarede, at når twitter.com er væk, vil nøgler bundet til det domæne simpelthen ikke virke — så de skal registreres igen til x.com. [4]
Det var planen.
Virkeligheden indtraf i denne uge.
12.–13. november: YubiKey-fejl og uendelige login-sløjfer
Fra sent den 12. november (US-tid) og ind i de tidlige timer af 13. november 2025, begyndte X-brugere at rapportere, at de ikke længere kunne logge ind på web eller mobil:
- Efter at have indtastet deres adgangskode fik de at vide, at de “skal tilmelde [deres] YubiKey igen” for at knytte den til x.com. [5]
- Da de forsøgte at følge instruktionerne, gik processen bare… i ring.
- Nogle havde aldrig ejet en YubiKey, men blev alligevel tvunget ind på den samme “gen-tilmeld din YubiKey”-skærm. [6]
Android Central, Windows Central og TechCrunch dokumenterede alle det samme mønster: et globalt loginproblem for konti knyttet til sikkerhedsnøgler eller adgangsnøgler, hvilket ofte resulterede i en verificeringsblindgyde eller direkte udelukkelse, selv når brugerne fulgte instruktionerne korrekt. [7]
Det sikkerhedsorienterede medie The Tech Buzz beskrev det direkte som en “sikkerhedsnøgle-migrering” der gik galt, hvilket forvandlede domænevedligeholdelse til “autentificeringshelvede” for platformens mest sikkerhedsbevidste brugere. [8]
Dagens opdatering (13. november 2025): Delvis genopretning, vedvarende kaos
Nye rapporter og brugeropslag i dag antyder, at det værste af nedbruddet er ved at aftage — men ikke alle er kommet ind endnu.
Redaktioner: Problemet bekræftet, X forbliver for det meste tavs
- NewsBytes rapporterer, at X “står over for et større problem efter en obligatorisk tofaktorgodkendelsesændring,” hvilket efterlader brugere “fanget i endeløse loops eller fuldstændig udelukket,” og bemærker, at X ikke offentligt har kommenteret fejlen. [9]
- Storyboard18 beskriver ligeledes en “fejlslagen sikkerhedsopdatering”, der udelukkede brugere eller fangede dem i login-loops — igen med vægt på, at X ikke har givet nogen officiel forklaring, mens Elon Musk fortsætter med at poste normalt fra sin egen konto. [10]
- Tech Buzz opdaterede sin historie her til morgen for at afspejle fortsatte autentificeringsfejl og fortsat mangel på en officiel udtalelse fra X. [11]
TechCrunch bemærker, at X “ikke svarede på en anmodning om kommentar,” selvom deres egen login-dækning beskrev endeløse loops og udbredte udelukkelser efter deadline den 10. november. [12]
Brugerberetninger: tilbagerulning i gang, men ikke universel
Windows Centrals liveblog, med henvisning til interne kilder, rapporterede den 12. november, at X’s ingeniører var ved at rulle nylige ændringer tilbage, og midt på eftermiddagen kunne skribenten logge ind igen, mens nedetidsrapporter på DownDetector begyndte at falde. [13]På Reddits r/Yubikey- og r/Twitter-fællesskaber beskriver brugere: [14]
- Globale problemer med X’s YubiKey/passkey-loginflow.
- Forvirrende beskeder om at “tilmelde din YubiKey igen”, selv for folk der kun brugte passkeys eller autentifikator-apps.
- En bølge af kommentarer tidligt i dag som “Jeg er inde igen” og “Løst for begge mine konti” — sammen med andre, der siger, at de stadig er låst ude.
En bredt delt Reddit-kommentar henviser til et opslag fra en verificeret X-ingeniør, der siger, at “problemet med sikkerhedsnøgle-login bør snart være løst,” men løsningen rulles tydeligvis ud ujævnt: nogle konti virker igen, andre sidder stadig fast i løkken. [15]
Konklusion for 13. november:
- Nedbruddet er ved at blive bedre, men er ikke helt ovre.
- Der er stadig ingen detaljeret, offentlig redegørelse fra X.
Hvem er ramt — og hvem er ikke?
Baseret på rapporter fra dagens dækning og brugeropslag: [16]
Mest berørt:
- Konti der nogensinde har sat op:
- En hardware-sikkerhedsnøgle (YubiKey eller lignende), eller
- En passkey (platform-autentifikator med Face ID, Touch ID, Windows Hello osv.)
- Især brugere hvis nøgler oprindeligt blev registreret, da tjenesten stadig brugte twitter.com til login.
Mest upåvirket (indtil videre):
- Konti der bruger app-baserede autentifikatorer (TOTP-apps),
- Konti der bruger SMS- eller e-mailkoder til 2FA,
- Konti uden 2FA (selvom det frarådes kraftigt af sikkerhedshensyn).
Ironisk nok er de personer, der har investeret i de stærkeste beskyttelser — hardware-nøgler og adgangsnøgler — blevet straffet mest af denne fejlslagne migrering. Flere brugerberetninger tyder også på, at nogle ikke-nøgle-brugere blev fanget af fejlen på grund af et fejlbehæftet login-flow, der ikke korrekt registrerede deres opsætning. [17]
Hvorfor skiftet fra twitter.com → x.com ødelagde login
For at forstå nedbruddet skal du forstå, hvordan sikkerhedsnøgler og adgangsnøgler fungerer.
I modsætning til adgangskoder er WebAuthn/FIDO2-sikkerhedsnøgler og adgangsnøgler bundet til et specifikt domæne. Da du første gang registrerede en nøgle til twitter.com, låste den sig kryptografisk til netop dette oprindelsessted. [18]
Så da X besluttede endeligt at aflive det gamle domæne og flytte logins fuldt ud til x.com:
- Nøgler registreret til twitter.com matchede ikke længere det nye domæne.
- X krævede derfor, at brugere skulle af-registrere og gen-registrere dem til x.com.
- Selve gen-registreringsflowet ser ud til at have været ituorden, hvilket forårsagede:
- Uendelige loops tilbage til “genregistrer din YubiKey”-skærmen,
- Login-prompter for YubiKeys på konti, der kun brugte adgangsnøgler eller apps,
- Brugere, der ikke kunne få adgang til indstillingssiden, hvor ændringen skulle foretages. [19]
X Safety beroligede tidligere brugerne med, at dette blot var simpelt vedligehold og “ikke relateret til nogen sikkerhedsbekymring,” men udførelsen levede tydeligvis ikke op til de grundlæggende forventninger om pålidelighed: sikkerhedsmigreringer skal gøre folk mere sikre, ikke logge dem ud i massevis. [20]
Er dette et hack eller et databrud?
Der er ingen beviser indtil videre for, at denne hændelse er et hack, brud eller et eksternt cyberangreb.
- X’s egne afklaringer fra oktober beskrev nøgle-nulstillingen som en domænemigrering, ikke et incident response. [21]
- Nuværende rapportering fra NewsBytes, Storyboard18, TechBuzz, TechCrunch og andre forbinder alle nedbruddet med en fejlslagen implementering af den planlagte sikkerhedsnøgle-migrering, ikke med et kompromitteret X-system. [22]
Når det er sagt, har X endnu ikke delt en detaljeret teknisk forklaring, så eksterne observatører forsøger stadig at stykke den egentlige årsag sammen ud fra adfærd og lækkede interne kommentarer.
Hvad gør du, hvis du er låst ude af din X-konto
Hvis du i øjeblikket sidder fast i YubiKey/passkey-loopet, er her praktiske trin baseret på X’s egne tidligere retningslinjer og anbefalinger fra sikkerhedseksperter. [23]
1. Prøv fra en enhed, hvor du allerede er logget ind
Hvis du stadig har en aktiv X-session på:
- En telefon,
- En tablet, eller
- En anden browserprofil,
brug den aktive session til at:
- Gå til Indstillinger → Sikkerhed & kontoadgang → Sikkerhed → To-faktor-godkendelse.
- Midlertidigt deaktivere den gamle sikkerhedsnøgle/passkey-indgang, der henviser til twitter.com.
- Tilføj en backup 2FA-metode (autentifikator-app eller en anden hardware-nøgle), hvis du ikke allerede har en.
- Genregistrer din YubiKey/passkey for x.com kun når migrationsproblemerne tydeligt er løst.
2. Tjek andre 2FA-muligheder
Nogle brugere rapporterer, at de stadig kan få adgang via: [24]
- En autentifikator-app, de tidligere har sat op,
- SMS- eller e-mailkoder,
- En backup-hardware-nøgle.
Hvis du kan godkende med en af dem, så gå direkte til indstillinger og tjek:
- Hvilke sikkerhedsnøgler der er opført,
- Om din nøgle nu er knyttet til x.com,
- Og at du har mindst én fungerende backup-metode.
Nu har selve handlingen med at begrave twitter.com trukket det gamle brand tilbage i overskrifterne, da brugere klager over, at “Twitter har dummet sig igen”, mens de forsøger at rette de sidste spor af… Twitter. [26]
For kritikere passer denne hændelse ind i et mønster, de har fremhævet siden Musks overtagelse: aggressive, topstyrede ændringer rullet ud i højt tempo, med nedskårne ingeniørteams og tilsyneladende begrænsede sikkerhedsnet. Adskillige medier fremstiller i dag direkte nedbruddet som det seneste i en række operationelle fejltrin siden overtagelsen til 44 milliarder dollars. [27]
Betyder det, at adgangsnøgler og sikkerhedsnøgler er en dårlig idé?
Kort svar: nej — men det er en advarsel om, hvordan du implementerer dem.
Rapporter fra BleepingComputer, The Verge og The Register understreger alle, at hardware-nøgler og adgangsnøgler stadig er nogle af de mest sikre former for godkendelse, der findes i dag. De reducerer risikoen for phishing markant, fordi de kun reagerer på det præcise domæne, de blev registreret til. [28]
Det, der gik galt her, var ikke den underliggende teknologi. Det var:
- Dårligt håndteret migreringsplanlægning (tvangsgenregistrering mod en hård deadline),
- Et fejlbehæftet genregistreringsflow uden pålidelig backup,
- Svag kommunikation under nedbruddet, hvilket efterlod brugerne til at fejlfinde sikkerhedsproblemer offentligt. [29]
For andre platforme, der følger med i dette forløb, er læren klar:
Hvis du vil flytte millioner af brugere til et nyt domæne med hardware-bundne legitimationsoplysninger, har du brug for skudsikker testning, gradvis udrulning og robuste gendannelsesveje.
FAQ: X sikkerhedsnøgle-nedbrud, 13. november 2025
Hvad udløste X’s login-nedbrud?
En tvungen migrering af sikkerhedsnøgler og adgangsnøgler fra twitter.com-domænet til x.com, kombineret med et ødelagt gen-tilmeldingsflow, der fangede brugere i YubiKey/adgangsnøgle-løkker og blokerede adgang til kontoindstillinger. [30]
Hvem blev mest berørt?
Brugere, der havde konfigureret hardware-sikkerhedsnøgler eller adgangsnøgler til 2FA, især dem hvis nøgler oprindeligt blev registreret, da logins stadig brugte twitter.com. Mange af dem blev midlertidigt eller stadig fuldstændig låst ude. [31]
Er problemet løst nu (13. november 2025)?
Rapporter fra Windows Central og Reddit viser, at mange brugere kan logge ind igen, efter at X tilsyneladende har rullet dele af ændringen tilbage, men andre sidder stadig fast, og X har ikke udsendt en detaljeret offentlig redegørelse. [32]
Blev X hacket?
Der er ingen offentlige beviser for et hack eller databrud. X og uafhængig sikkerhedsrapportering tilskriver hændelsen en fejlslagen intern sikkerhedsnøgle-migrering, ikke et eksternt angreb. [33]
Bør jeg slå 2FA fra på min X-konto?
Kun som sidste udvej. Hvis du slår 2FA fra, bliver din konto meget nemmere at kompromittere. Hvis du er nødt til at svække sikkerheden for at genvinde adgang, så tilføj en autentificeringsapp eller backup-nøgle og slå stærk 2FA til igen, så snart X’s systemer er stabile. [34]
Pr. 13. november er krisen langsomt ved at aftage, men skaden på brugertilliden — og på det i forvejen kontroversielle X-rebrand — kan vare meget længere end selve nedbruddet.
References
1. www.creativebloq.com, 2. www.theverge.com, 3. www.theverge.com, 4. www.bleepingcomputer.com, 5. www.androidcentral.com, 6. www.reddit.com, 7. www.androidcentral.com, 8. www.techbuzz.ai, 9. www.newsbytesapp.com, 10. www.storyboard18.com, 11. www.techbuzz.ai, 12. techcrunch.com, 13. www.windowscentral.com, 14. www.reddit.com, 15. www.reddit.com, 16. www.newsbytesapp.com, 17. www.androidcentral.com, 18. www.theverge.com, 19. www.techbuzz.ai, 20. www.theregister.com, 21. www.theregister.com, 22. www.newsbytesapp.com, 23. www.bleepingcomputer.com, 24. www.androidcentral.com, 25. www.creativebloq.com, 26. www.creativebloq.com, 27. www.techbuzz.ai, 28. www.bleepingcomputer.com, 29. www.techbuzz.ai, 30. www.newsbytesapp.com, 31. www.techbuzz.ai, 32. www.windowscentral.com, 33. www.theregister.com, 34. www.bleepingcomputer.com
