Un metodo di autenticazione è il modo specifico in cui un sistema conferma l'identità di un utente, come una passkey, una richiesta da un'app di autenticazione, un codice SMS o un token hardware. È uno dei livelli nel processo di accesso e di recupero dell'account, e determina quale prova un utente debba fornire prima che venga concesso l'accesso.
Questo è importante perché gli aggressori spesso prendono di mira il metodo, non solo la password. Nel phishing e nell'impersonificazione dell'help desk, un criminale può spingere la vittima ad approvare una falsa richiesta dall'app, a registrare una nuova passkey o a reimpostare un fattore fingendosi il supporto. Se viene aggiunto un metodo non autorizzato, l'aggressore può tornare a colpire anche dopo un cambio della password. I difensori dovrebbero monitorare le nuove registrazioni dei metodi, le approvazioni insolite e le richieste di recupero, e verificare i cambiamenti sensibili tramite un canale separato.