Secondi fattori comuni sono i codici TOTP da app, le approvazioni push, i codici SMS e le chiavi di sicurezza FIDO2 o le passkey. Solo FIDO2 e passkey resistono davvero al phishing, perché sono legate al dominio reale. L'SMS è l'opzione più debole a causa del SIM swapping.
Il TOTP dipende dall'ora: se l'orologio del telefono o del server è sfasato di più di circa 30 secondi, codici corretti vengono rifiutati.
Nel supporto i casi MFA più frequenti sono un telefono perso o nuovo senza codici migrati, codici di recupero mancanti e password per app destinate a vecchi client di posta che non supportano l'MFA. Un processo di reset documentato, con verifica dell'identità, fa risparmiare tempo.