Il phishing dell'autenticazione a più fattori (MFA) è un attacco che cerca di indurre una persona a comunicare un codice di autenticazione a più fattori, ad approvare una richiesta di accesso imprevista o, in altro modo, ad aiutare un aggressore a completare l'accesso. Alcune campagne usano pagine di accesso false e convincenti; altre inviano richieste ripetute per fare pressione sull'utente e indurlo ad approvarne una. Se ha successo, l'aggressore potrebbe ottenere l'accesso anche se l'account ha l'autenticazione a più fattori abilitata.
Il successo dipende dal metodo di autenticazione e dalle protezioni della sessione. I codici monouso e le richieste di approvazione possono essere vulnerabili all'intercettazione o agli inganni, mentre i metodi resistenti al phishing, come le passkey o le chiavi di sicurezza, sono progettati per associare l'autenticazione al sito o al servizio legittimo. Tra le difese figurano formare gli utenti affinché rifiutino le richieste impreviste, limitare la durata delle sessioni, monitorare gli accessi e le attività insoliti e revocare tempestivamente le sessioni o le credenziali sospette.