Bei WebAuthn schreibt der Browser den Origin in clientDataJSON, und der Authenticator signiert über den Hash der RP-ID. Ein Credential für example.com funktioniert deshalb auf examp1e.com schlicht nicht, und nichts, was der Benutzer eingibt, lässt sich weiterreichen. Passwörter, Codes per SMS und E-Mail, TOTP-Apps und Push-Bestätigungen lassen sich dagegen alle in Echtzeit über Phishing-Proxy-Kits abgreifen; deshalb umgehen Angreifer die Multi-Faktor-Authentifizierung routinemäßig.
NIST SP 800-63B-4 definiert Phishing-Resistenz und verlangt auf AAL2, dass eine phishing-resistente Authenticator-Option angeboten wird, und auf AAL3 Phishing-Resistenz; die Richtlinie der US-Bundesregierung (OMB M-22-09) schreibt für das Personal der Bundesbehörden phishing-resistente MFA vor. Abläufe für Wiederherstellung und Fallback dürfen phishbare Faktoren nicht stillschweigend wieder einführen.