I codici di recupero 2FA sono codici di backup monouso che consentono a un utente di completare l'autenticazione a due fattori quando il secondo fattore normale non è disponibile. Spesso vengono generati durante la configurazione dell'account e sono pensati per essere conservati in modo sicuro per le emergenze, come la perdita di un telefono, la sostituzione di un token hardware o l'impossibilità di ricevere una richiesta di verifica.
Sono importanti perché possono aggirare le normali protezioni della 2FA se un aggressore li ottiene. Nelle intrusioni reali, i criminali cercano i codici di recupero nelle email, nei gestori di password, negli screenshot o nelle note nel cloud, quindi li usano per accedere anche dopo che la password principale è stata cambiata. Chi difende dovrebbe trattare questi codici come password: generarli solo quando necessario, archiviarli offline o in un vault protetto, ruotarli dopo l'uso e monitorare eventuali recuperi o accessi sospetti. Se i codici di recupero vengono esposti, l'account può rimanere a rischio finché non vengono revocati e sostituiti.