В WebAuthn браузер записывает источник (origin) в clientDataJSON, а аутентификатор подписывает данные вместе с хешем RP ID, поэтому учётные данные для example.com просто не работают на examp1e.com, а ничего из того, что вводит пользователь, нельзя переслать дальше. Фишинговые прокси-наборы могут в реальном времени перехватить пароли, коды из SMS и электронной почты, коды приложений TOTP и подтверждения через push-уведомления, поэтому злоумышленники регулярно обходят многофакторную аутентификацию.
NIST SP 800-63B-4 определяет устойчивость к фишингу и требует на уровне AAL2 предлагать устойчивый к фишингу аутентификатор как один из вариантов, а на уровне AAL3 — обеспечивать устойчивость к фишингу; федеральная политика США (OMB M-22-09) требует устойчивой к фишингу MFA для сотрудников ведомств. Сценарии восстановления и резервного входа не должны незаметно возвращать факторы, уязвимые для фишинга.