Un codice di backup 2FA è un codice di recupero monouso creato quando viene abilitata l'autenticazione multifattore. Consente a un utente di accedere se il secondo fattore normale non è disponibile, ad esempio quando un telefono è perso, reimpostato o fuori portata. Poiché può sostituire il secondo passaggio, dovrebbe essere trattato come un segreto di alto valore, simile a una password o a una chiave di recupero.
Negli attacchi, i codici di backup sono attraenti perché possono aggirare completamente il MFA se rubati. Kit di phishing, infostealer e furti tramite browser possono raccoglierli da file salvati, screenshot, note, download, profili sincronizzati o gestori di password. I difensori dovrebbero conservare i codici di backup offline, rigenerarli dopo qualsiasi sospetta esposizione e revocarli quando un account viene recuperato. Metodi MFA più robusti riducono la dipendenza da segreti di recupero riutilizzabili, ma i codici di backup restano utili quando sono protetti in modo rigoroso.