L'MFA aggiunge alla password un secondo fattore di natura diversa: qualcosa che hai (telefono, chiave hardware) o che sei (impronta). Così una password rubata, da sola, non basta – e le password rubate sono il vettore d'ingresso numero uno.
Non tutti i fattori valgono uguale: gli SMS sono il minimo sindacale (vulnerabili al SIM swapping), i codici TOTP delle app authenticator sono buoni, le passkey/FIDO2 sono lo stato dell'arte perché resistono anche al phishing: il browser firma una challenge legata al dominio vero, e su un sito clone semplicemente non funzionano. Regola pratica: MFA ovunque sia disponibile, passkey dove possibile, e un password manager per tutto il resto.