Per autenticazione a più livelli si intende richiedere più di un controllo prima che un utente sia considerato affidabile. Una password può essere il primo fattore, ma l'accesso può dipendere anche da un codice monouso, da un prompt sul dispositivo, da un token hardware o da una workstation fidata. L'obiettivo è semplice: se una credenziale viene rubata o indovinata, l'attaccante non può comunque superare ogni barriera.
Nella sicurezza informatica, l'autenticazione a più livelli è importante perché password rubate, phishing e social engineering sono punti di accesso comuni. Un singolo passaggio di accesso è facile da aggirare se un dipendente viene ingannato e induce a rivelare le credenziali. L'aggiunta di controlli extra riduce il valore di un account compromesso e può impedire agli attaccanti di raggiungere la posta elettronica, le condivisioni di file o i portali interni anche dopo l'accesso iniziale. In difesa, l'autenticazione a più livelli viene spesso affiancata al privilegio minimo e alla fiducia basata sul dispositivo per limitare quanto lontano possa muoversi un intruso se un controllo fallisce.