WebAuthn では、ブラウザーがオリジンを clientDataJSON に入れ、認証器が RP ID のハッシュ値を含めて署名するため、example.com の認証情報は examp1e.com ではまったく機能せず、ユーザーが入力したものを中継することもできません。パスワード、SMS やメールのコード、TOTP アプリ、プッシュ通知による承認は、いずれもプロキシキットによってリアルタイムでフィッシングされる可能性があります。攻撃者が多要素認証を日常的に回避できるのはそのためです。
NIST SP 800-63B-4 はフィッシング耐性を定義し、AAL2 ではフィッシング耐性のある認証器を選択肢として提供すること、AAL3 ではフィッシング耐性そのものを求めています。米国連邦政府のポリシー（OMB M-22-09）は、職員にフィッシング耐性のある MFA を義務付けています。復旧やフォールバックのフローが、フィッシング可能な要素をひそかに再び持ち込むことがあってはなりません。