با این روش چنانچه اطلاعات کاربران یک وبسایت نظیر پسوردهایشان به بیرون درز کند هکرها باز هم امکان دسترسی به اکانت هایشان را نخواهند داشت. اما چنانچه نادانسته، کد دو عاملی خود را دراختیار افراد یا سایت های مجرم قرار دهید این سیستم نیز شکست می خورد.
در گزارش دیدبان حقوق بشر اشاره شده هکرها شروع به استفاده از یک فرایند خودکار برای شکست این سیستم احراز هویت کرده اند؛ در این روش آنها نخست از طریق فیشینگ پسورد کاربر را با کمک یک وبسایت جعلی سرقت می کنند و بعد آن را به جیمیل می دهند. در ادامه پیام متنی دو عاملی برای کاربر ارسال می گردد و وبسایت جعلی از فرد درخواست ارائه کد مربوطه را می کند.
از آنجا که در برخی سیستم ها برای غیرفعال نمودن احراز هویت دو عاملی (با همه روش های احراز هویت دو عاملی آشنا شوید) نیازی به مجوز کاربر نیست هکرها میتوانند به راحتی وارد اکانت شما شوند. حتی بدون در اختیار گرفتن کنترل کامل یک اکانت هم هکرها میتوانند پسوردهای اختصاصی برای اپ بسازند؛ منظور پسوردهای ثانویه ایست که می توان از آنها برای دسترسی به اکانت های دو عاملی بدون نیاز به احراز هویت هرباره است.
در طول سال های ۲۰۱۷ و ۲۰۱۸ هکرها بالغ بر هزار اکانت متعلق به کاربران خاورمیانه (به ویژه امارات متحده عربی) و شمال آفریقا در گوگل و یاهو را هدف حملات هکی خود قرار دادند.
البته این خبر را نمی توان دال بر غیرامنیتی بودن همه سیستم های احراز هویت دو عاملی قلمدا کرد و همچنان استفاده از این روش برای لاگین به حساب های کاربری مختلف توصیه می شود با این حال نباید فراموش کرد که احراز هویت دو عاملی نیز خطرات مختص به خود را دارد.
