การพิสูจน์ตัวจริงด้วยปัจจัยหลายอย่าง

การพิสูจน์ตัวจริงด้วยปัจจัยหลายอย่าง
(ตัวย่อ MFA #เปลี่ยนทาง),
การพิสูจน์ตัวจริงด้วยปัจจัยสองอย่าง (ตัวย่อ 2FA) และคำทำนองเดียวกันอื่น#เปลี่ยนทาง ๆ
เป็นการพิสูจน์ตัวผู้ใช้ทางอิเล็กทรอนิกส์เพื่อลงชื่อเข้าใช้บัญชีทางเว็บไซต์หรือทางแอป 
ซึ่งผู้ใช้ต้องให้หลักฐานหรือปัจจัยสองอย่างหรือยิ่งกว่าแก่กลไกการพิสูจน์ตัวผู้ใช้
เอ็มเอ็ฟเอจะช่วยรักษาความปลอดภัยของข้อมูลส่วนตัว ซึ่งอาจรวมข้อมูลที่ระบุตัวบุคคลได้หรือทรัพย์สินทางการเงิน ไม่ให้บุคคลที่สามเข้าถึงได้ เปรียบเทียบกับเมื่อใช้ปัจจัยเดียว เช่น รหัสผ่าน ที่อาจจะป้องกันไม่ได้
แอปออเทนทิเคเตอร์จากบริษัท/บุคคลที่สามมักใช้เป็นปัจจัยที่สองเพื่อพิสูจน์ตัวจริง แอปปกติจะแสดงเลขสุ่มที่เปลี่ยนไปเรื่อย#เปลี่ยนทาง ๆ ที่ผู้ใช้จะลงบันทึกในระบบเพื่อพิสูจน์ตน
ปัจจัยต่าง#เปลี่ยนทาง ๆ.
การพิสูจน์ตัวผู้ใช้จะเริ่มเมื่อพยายามจะลงชื่อเข้าใช้บัญชีคอมพิวเตอร์ (เช่น เครือข่ายคอมพิวเตอร์ อุปกรณ์ หรือแอป)
ซึ่งอาจกำหนดให้ระบุข้อมูลบุคคลที่บริการนั้นรู้จัก บวกกับข้อมูลพิสูจน์ว่าเป็นผู้ใช้นั้นจริง#เปลี่ยนทาง ๆ 
ข้อมูลพิสูจน์ธรรมดาจะมีแค่ปัจจัยเดียว ซึ่งทั่วไปก็คือรหัสผ่าน
แต่เพื่อเพิ่มความปลอดภัย บริการนั้นอาจบังคับให้มีปัจจัยยิ่งกว่าหนึ่งอย่าง เพื่อพิสูจน์ตัวผู้ใช้ด้วยปัจจัยหลายอย่าง หรือด้วยสองอย่างถ้าต้องให้หลักฐานสองอย่าง
การใช้ปัจจัยหลายอย่างเพื่อพิสูจนตัวมีแนวคิดว่า ผู้ไม่ได้รับอนุญาตไม่น่าจะแสดงปัจจัยต่าง#เปลี่ยนทาง ๆ ที่ใช้เพื่อลงชื่อเข้าบัญชีได้
เพราะถึงแม้จะมีปัจจัยหนึ่งอย่าง แต่ถ้าไม่มีปัจจัยที่เหลือ ก็ยังไม่สามารถเข้าบัญชีที่ป้องกันความปลอดภัยด้วยวิธีนี้ได้
ปัจจัยที่ใช้อาจรวม
ตัวอย่างของการพิสูจน์ผู้ใช้ด้วยปัจจัยสองอย่างก็คือการถอนเงินจากตู้เอทีเอ็ม
ต่อเมื่อมีทั้งบัตรเอทีเอ็มที่ถูกต้อง (สิ่งที่ผู้ใช้มี) และรหัส PIN (สิ่งที่ผู้ใช้รู้) จึงจะสามารถทำธุรกรรมได้
ตัวอย่างอื่น#เปลี่ยนทาง ๆ ที่บูรณาการความปลอดภัยการใช้รหัสผ่านก็คือ รหัสผ่านใช้ครั้งเดียว (OTP, one-time password) หรือเลขรหัสที่#เปลี่ยนทาง ได้รับหรือระบุ (เช่นที่พบในโทเค็นความปลอดภัยหรือสมาร์ทโฟน) ซึ่งเป็นวัตถุที่ผู้ใช้เท่านั้นมี
ส่วนแอปออเทนทิเคเทอร์ของบริษัท/บุคคลที่สามปกติจะแสดงเลขรหัสสุ่มที่เปลี่ยนไปเรื่อย#เปลี่ยนทาง ๆ 
โดยไม่ได้ส่งมาทางข้อความเอสเอ็มเอสหรือวิธีอื่น#เปลี่ยนทาง ๆ และผู้ใช้สามารถลงบันทึกเลขนั้นเพื่อพิสูจน์ตัวได้
ข้อดียิ่งของแอปชนิดนี้ก็คือทำงานได้โดยไม่ต้องมีอินเทอร์เน็ต
ตัวอย่างแอปรวมทั้ง Google Authenticator, Authy และ Microsoft Authenticator
ตัวจัดการรหัสผ่านบางแอป เช่น บิตวอร์เดน ก็มีบริการนี้เช่นกัน
สิ่งที่รู้.
สิ่งที่รู้ก็สามารถเป็นปัจจัยเพื่อพิสูจน์ผู้ใช้เช่นกัน
คือต้องรู้ความลับอะไรบางอย่างเป็นการพิสูจน์
รหัสผ่านเป็นคำลับหรือเป็นชุดอักษรที่ใช้พิสูจน์ตัวจริงได้
นี่เป็นปัจจัยพิสูจน์ตนที่มีใช้อย่างสามัญที่สุด
การพิสูจน์ตัวผู้ใช้ด้วยปัจจัยหลายอย่างอาจใช้รหัสลับเป็นปัจจัยอย่างหนึ่งเพื่อพิสูจน์
รหัสผ่านแบบยาวรูปแบบหนึ่งก็คือการใช้คำหลาย#เปลี่ยนทาง ๆ คำหรือพาสเฟรซ หรือรูปแบบสั้นอย่างหนึ่งก็คือรหัสเป็นเลขล้วนเช่น รหัส PIN ซึ่งใช้กับเครื่องเอทีเอ็ม
ทั่วไปแล้ว ผู้ใช้จะต้องจำรหัสผ่าน แต่ก็อาจเขียนไว้ในกระดาษหรือไฟล์ที่ซ่อนไว้
สิ่งที่มี.
ปัจจัยคือสิ่งที่ผู้ใช้มี ได้ใช้เป็นเครื่องพิสูจน์ตนเป็นศตวรรษ#เปลี่ยนทาง ๆ แล้ว ในรูปแบบของลูกกุญแจที่ใช้ไขตัวกุญแจ
หลักก็คือลูกกุญแจจะมีความลับร่วมกันกับตัวกุญแจ เป็นหลักเดียวกันที่ใช้พิสูจน์ตัวผู้ใช้ในระบบคอมพิวเตอร์
โทเค็นความปลอดภัย (security token ในภาพ) เป็นตัวอย่างปัจจัยคือสิ่งที่มี
โทเค็นแบบไม่เชื่อม (disconnected token) เป็นโทเค็นความปลอดภัยที่ไม่ต่อกับระบบรับบริการ
ปกติจะมีจอในตัวเพื่อแสดงเลขสรหัสพิสูจน์ผู้ใช้ที่สร้างขึ้น โดยผู้ใช้จะลงบันทึกรหัสในระบบรับบริการ
โทเค็นแบบเชื่อม (connected token) เป็นอุปกรณ์ที่ต้องต่อกับคอมพิวเตอร์เมื่อใช้การ
โดยโทเค็นจะเป็นตัวส่งข้อมูลเอง ผู้ใช้ไม่ต้องลงบันทึกรหัสใด#เปลี่ยนทาง ๆ
มีโทเค็นรูปแบบอื่น#เปลี่ยนทาง ๆ อีกรวมทั้ง โทเค็นยูเอสบี สมาร์ตการ์ด และแบบคลื่นวิทยุ
เริ่มตั้งแต่ปี#เปลี่ยนทาง 2015 เว็บบราวเซอร์หลัก#เปลี่ยนทาง ๆ ได้เริ่มสนับสนุนมาตรฐานโทเค็น WebAuthn ซึ่งโปรโหมตโดยสมาคมไฟโดอัลไลอานซ์ (FIDO Alliance) และเวิลด์ไวด์เว็บคอนซอร์เทียม (W3C)
อนึ่ง โทเค็นแบบซอฟต์แวร์ ก็ใช้พิสูจน์ตัวผู้ใช้ด้วยปัจจัย 2#เปลี่ยนทาง อย่างได้เหมือนกัน
โดยข้อมูลลับที่ใช้สร้างโทเค็นจะเก็บไว้ในอุปกรณ์อิเล็กทรอนิกส์ทั่วไป เช่น คอมพิวเตอร์แบบตั้งโต๊ะ แล็ปท็อป โทรศัพท์เคลื่อนที่ หรือสมาร์ทโฟน ดังนั้น อาจถูกก๊อปเอาไปได้
นี่เทียบกับโทเค็นแบบฮาร์ดแวร์ซึ่งเก็บความลับไว้ในอุปกรณ์โดยเฉพาะ#เปลี่ยนทาง ๆ และดังนั้น จึง#เปลี่ยนทาง ข้อมูลลับเอาไปไม่ได้ ยกเว้นจะเปิดทำลายอุปกรณ์เพื่อ#เปลี่ยนทาง ข้อมูล
การพิสูจน์ตัวผู้ใช้ด้วยปัจจัยหลายอย่างก็ใช้รักษาความปลอดภัยทั่วไปได้เช่นกัน
ซึ่งปกติมักเอาสิ่งที่ผู้ใช้มี เช่น การ์ดกุญแจ และสิ่งที่ผู้ใช้เป็น เช่น ลักษณะใบหน้า หรือม่านตา
ตัวอย่างการใช้อย่างหนึ่งก็คือเอาไว้เปิดประตูที่ล็อกไม่ให้คนอื่นเข้า
สิ่งที่เป็น.
ปัจจัยนี้เป็นสิ่งที่ผู้ใช้มีหรือเป็นตามธรรมชาติ ซึ่งปกติก็คือลักษณะทางชีวมิติรวมทั้งลายนิ้วมือ ใบหน้า
เสียงพูด หรือลายม่านตา
พฤติกรรมที่มีลักษณะเฉพาะ#เปลี่ยนทาง ๆ เช่น ลักษณะการพิมพ์คีย์บอร์ด ก็อาจใช้ได้เหมือนกัน
ตำแหน่งที่ตั้ง.
ตำแหน่งที่อยู่ของผู้ใช้ปัจจุบัน ก็ใช้เป็นปัจจัยพิสูจน์ตัวจริงเพิ่มขึ้นเรื่อย#เปลี่ยนทาง ๆ
เช่น เมื่อกำลังใช้เครือข่ายคอมพิวเตอร์ของบริษัทอยู่ ผู้ใช้อาจสามารถลงชื่อเข้าใช้ด้วยเพียงแค่รหัส PIN
แต่ถ้าใช้เครือข่ายอื่นอยู่ ก็อาจต้องใส่โค๊ดจากโทเค็นซอฟต์แวร์เพิ่มขึ้นอีกด้วย
นี่อาจเป็นส่วนของมาตรฐานที่บริษัท/องค์กรต้องประพฤติตามในการเข้าถึงทรัพยากรต่าง#เปลี่ยนทาง ๆ ที่ควบคุมการเข้าถึง
โทรศัพท์เคลื่อนที่.
การพิสูจน์ตัวผู้ใช้ด้วยข้อความโทรศัพท์เริ่มขึ้นตั้งแต่ปี#เปลี่ยนทาง 1996 เมื่อบริษัทเอทีแอนด์ทีระบุระบบที่อนุญาตให้ทำธุรกรรมโดยอาศัยโค๊ดที่ส่งไปยังวิทยุติดตามตัว
ระบบพิสูจน์ตัวผู้ใช้ด้วยปัจจัยหลายอย่างมักจะอนุญาตให้ใช้โทรศัพท์เคลื่อนที่เป็นปัจจัยด้วย
วิธีที่ใช้รวมการส่งคำขออนุญาตด้วยแอป (push-based) การส่งรหัสคิวอาร์ การใช้รหัสที่ใช้ครั้งเดียว (OTP ซึ่งใช้ได้อย่างจำกัดเวลา) และการส่งโค๊ดทางข้อความเอสเอ็มเอส
การใช้โทรศัพท์เป็นปัจจัยมีปัญหาความปลอดภัย
เพราะข้อมูลที่กำหนดเบอร์โทรศัพท์ก็สามารถก๊อปได้ ข้อความเอสเอ็มเอสจึงอาจจัดให้ส่งไปที่โทรศัพท์อื่นได้
แอปที่ใช้รับรหัสก็สามารถมีได้ในอุปกรณ์อื่น#เปลี่ยนทาง ๆ ช่างที่ซ่อมโทรศัพท์ก็สามารถเข้าดูข้อความในโทรศัพท์ได้
ดังนั้น รวม#เปลี่ยนทาง ๆ แล้ว โทรศัพท์จึงยังไม่ค่อยปลอดภัย เพราะไม่ใช่อะไรที่ผู้ใช้เท่านั้นมี
นี่เทียบกับข้อเสียของการพิสูจน์ตัวผู้ใช้โดยสิ่งที่มีโดยเฉพาะ#เปลี่ยนทาง ๆ ซึ่งก็คือ ผู้ใช้ต้องถือเอาโทเค็นที่เป็นวัตถุไปด้วยอยู่ตลอดเวลา ไม่ว่าจะเป็นอุปกรณ์ยูเอสบี บัตรธนาคาร หรือกุญแจอะไรบางอย่าง
ซึ่งก็อาจหายหรือถูกขโมยได้
อนึ่ง องค์กรหลายแห่งห้ามการถืออุปกรณ์อิเล็กทรอนิกส์หรืออุปกรณ์ยูเอสบีเข้าหรือออกจากอาคารเพราะกลัวมัลแวร์หรือถูกขโมยข้อมูล 
เหมือนกับที่เครื่องมืออุปกรณ์อันสำคัญที่สุดจะไม่มีช่องยูเอสบี
อีกอย่างหนึ่ง โทเค็นฮาร์ดแวร์แบบเฉพาะ#เปลี่ยนทาง ๆ ยังขยายใช้ได้ไม่ง่าย เพราะปกติจะต้องใช้โทเค็นอันหนึ่งต่อบัญชีต่อระบบ
การแจกและการต้องเปลี่ยนโทเค็นแบบนี้ยังมีค่าใช้จ่ายเพิ่ม
ดังนั้น ความขัดแย้งระหว่างการใช้ง่ายกับความปลอดภัยจึงเป็นปัญหาที่เลี่ยงไม่ได้
การพิสูจน์ตัวจริงด้วยปัจจัยที่สองโดยใช้โทรศัพท์เคลื่อนที่หรือสมาร์ทโฟน เป็นทางเลือกของการใช้อุปกรณ์เฉพาะอย่าง
เพื่อจะพิสูจน์ตน ผู้ใช้สามารถใช้ข้อมูลลับส่วนตัวสำหรับอุปกรณ์นั้น (เป็นสิ่งที่ผู้ใช้เท่านั้นรู้) บวกกับรหัสใช้ครั้งเดียวที่สร้างขึ้นเรื่อย#เปลี่ยนทาง ๆ โดยปกติเป็นเลขรหัส #เปลี่ยนทาง 
เลขรหัสอาจส่งไปที่โทรศัพท์
ผ่านข้อความเอสเอ็มเอส หรืออาจสร้างขึ้นโดยแอปที่สร้างรหัสใช้ครั้งเดียว
ข้อดีก็คือไม่ต้องมีอุปกรณ์โทเค็นโดยเฉพาะ#เปลี่ยนทาง ๆ เพราะผู้ใช้ปกติก็มีมือถือติดตัวอยู่แล้ว
แม้การพิสูจน์ด้วยเอสเอ็มเอสจะเป็นที่นิยม แต่ก็มักจะถูกวิจารณ์ในด้านปัญหาความปลอดภัย
ในเดือนกรกฎาคม 2016 สถาบันมาตรฐานและเทคโนโลยีแห่งชาติสหรัฐ (NIST) ได้ร่างแนวทางปฏิบัติที่เสนอให้เลิกใช้ข้อความเอสเอ็มเอสเป็นเครื่องพิสูจน์ตัวจริง
แต่อีกปีต่อมา สถาบันก็กลับระบุเป็นวิธีพิสูจน์ตนได้เหมือนเดิม
บริษัทกูเกิลในปี#เปลี่ยนทาง 2016 และบริษัทแอปเปิลในปี#เปลี่ยนทาง 2017 ได้เริ่มให้ผู้ใช้พิสูจน์ตนด้วยข้อความเตือนแบบ push notification
โดยใช้เป็นทางเลือกอย่างหนึ่งของปัจจัยที่สอง
ความปลอดภัยของโทเค็นที่อาศัยโทรศัพท์เคลื่อนที่จะขึ้นอยู่กับการรักษาความปลอดภัยของผู้ใช้โทรศัพท์ โดยยังรั่วได้ง่ายเนื่องกับการดักฟังหรือการลอกซิมที่องค์กรความมั่นคงของชาติต่าง#เปลี่ยนทาง ๆ อาจจะทำ
กฎหมายและกฎบังคับ.
มาตรฐานความปลอดภัยข้อมูลของสมาคมอุตสาหกรรมบัตรจ่ายเงิน (Payment Card Industry Data Security Standard) บังคับว่า บุคคลผู้จะเข้าถึงข้อมูลบัตรจ่ายเงินจากเครือข่ายนอกระบบ จะต้องพิสูจน์ตัวด้วยปัจจัยหลายอย่าง
แต่ถ้าเข้าถึงข้อมูลโดยความเป็นแอดมิน ก็จะต้องใช้ปัจจัยหลายอย่างเพื่อพิสูจน์ตนทุกครั้งแม้จะใช้เครือข่ายในระบบ
สหภาพยุโรป.
คำสั่งการบริการจ่ายเงิน (Payment Services Directive) ของสหภาพยุโรปที่มีผลเป็นกฎหมายในปลายปี#เปลี่ยนทาง 2019 
บังคับให้ผู้ใช้ต้องพิสูจน์ตนด้วยปัจจัยหลายอย่างสำหรับการจ่ายเงินทางอิเล็กทรอนิกส์ในเขตเศรษฐกิจยุโรป
อินเดีย.
ในประเทศอินเดีย ธนาคารทุนสำรองอินเดียบังคับให้ใช้การพิสูจน์ตัวผู้ใช้ด้วยปัจจัยสองอย่าง (2FA) 
สำหรับธุรกรรมออนไลน์ที่ใช้บัตรจ่ายเงินโดยต้องเพิ่มรหัสผ่านหรือเพิ่มรหัสใช้ครั้งเดียวที่ส่งไปทางเอสเอ็มเอส
แม้จะเลิกบังคับใช้ในปี#เปลี่ยนทาง 2016 สำหรับการจ่ายเงินไม่เกิน #เปลี่ยนทาง เมื่อการเลิกใช้ธนบัตรบางมูลค่าได้สร้างปัญหาทางเศรษฐกิจ
บริษัทต่าง#เปลี่ยนทาง ๆ เช่น อูเบอร์ ก็ถูกบังคับให้เปลี่ยนระบบจัดการทางการเงินเพื่อทำตามกฎแม้บริษัทจะเชื่อว่ามีผลเสียต่อผู้บริโภคและต่อธุรกิจ
สหรัฐ.
มีคำสั่งประธานาธิบดีสหรัฐในปี#เปลี่ยนทาง 2018 ซึ่งกำหนดการใช้วิธีพิสูจน์ตนสำหรับเจ้าหน้าที่ทั้งแบบบรรจุและแบบชั่วคราวของรัฐบาลกลาง
มาตรฐานสำหรับการเข้าถึงระบบเทคโนโลยีสารสนเทศที่สำคัญของรัฐบาลกลางสหรัฐ บังคับให้ใช้การพิสูจน์ตัวจริงด้วยปัจจัยหลายอย่าง เช่น เมื่อลงชื่อเข้าใช้อุปกรณ์เครือข่ายเพื่อทำกิจของแอดมิน
และเมื่อใช้คอมพิวเตอร์ที่ลงชื่อเข้าใช้แบบมีสิทธิพิเศษ
สถาบันมาตรฐานและเทคโนโลยีแห่งชาติสหรัฐ (NIST) ได้เผยแพร่เอกสาร "Special Publication 800-63-3" ที่ระบุการพิสูจน์ตัวจริงด้วยปัจจัยสองอย่าง (2FA) 
แล้วแนะนำการใช้ในธุรกรรมที่ต้องมีความปลอดภัยในระดับต่าง#เปลี่ยนทาง ๆ
ในปี#เปลี่ยนทาง 2005 คณะกรรมการตรวจสอบสถาบันการเงินของรัฐบาลกลาง (FFIEC) ได้แนะนำสถาบันทางการเงินให้ประเมินความปลอดภัยตามความเสี่ยง 
ให้เช็คโปรแกรมสำรวจความเข้าใจของลูกค้า 
แล้วใช้วิธีพิสูจน์ลูกค้าที่ลงชื่อเข้าใช้บริการทางการเงินทางไกลให้ได้ความแน่นอน 
โดยแนะนำอย่างเป็นทางการให้ใช้วิธีพิสูจน์ตัวผู้ใช้ด้วยปัจจัยยิ่งกว่าหนึ่งอย่าง (คือสิ่งที่ผู้ใช้รู้ มี หรือเป็น)
เพราะการเผยแพร่นี้ บริษัทที่ให้บริการพิสูจน์ตัวจริงเป็นจำนวนมากจึงเริ่มมีวิธีการพิสูจน์ตัวผู้ใช้โดยใช้คำถาม หรือภาพลับ หรือความรู้อะไร#เปลี่ยนทาง ๆ อย่างอื่นโดยอ้างว่า เป็นวิธีพิสูจน์ตัวด้วย "ปัจจัยหลายอย่าง"
เพราะความสับสนเช่นนี้ และการนำวิธีดังที่ว่าไปใช้อย่างกว้างขวาง ปีต่อมาองค์กรจึงเผยแพร่แนวทางเสริม
ซึ่งระบุว่า โดยนิยามแล้ว ระบบพิสูจน์ตัวด้วยปัจจัยหลายอย่าง "ของแท้" จะต้องใช้ปัจจัยสามชนิดที่ได้กำหนดแล้ว (คือสิ่งที่ผู้ใช้รู้ ที่มี หรือที่เป็น) ร่วมกัน ไม่ใช่การใช้ปัจจัยชนิดเดียวหลายรูปแบบหรือหลายครั้ง
ความปลอดภัย.
ตามผู้สนับสนุน การพิสูจน์ตัวจริงด้วยปัจจัยหลายอย่างสามารถลดจำนวนการปลอมบุคคลและการฉ้อฉลทางออนไลน์อื่น#เปลี่ยนทาง ๆ 
เพราะรหัสผ่านของเหยื่ออย่างเดียวไม่พอให้ผู้ร้ายสามารถเชิดบัญชีไปได้
แต่วิธีการพิสูจน์ตัวจริงเช่นนี้หลายอย่างก็ยังมีปัญหาด้านฟิชชิง
หรือการโจมตีแบบอื่น#เปลี่ยนทาง ๆ รวมทั้ง#เปลี่ยนทาง [[แม่แบบ:ไม่ตัด]]ที่เป็นมัลแวร์ในบราวเซอร์ และการแทรกตัวระหว่างกลางแบบ man-in-the-middle attack
การพิสูจน์ตัวจริงด้วยปัจจัยสองอย่าง (2FA) สำหรับ#เปลี่ยนทาง มีปัญหาด้านฟิชชิงเป็นพิเศษ โดยเฉพาะเมื่อส่งโค๊ดทางเอสเอ็มเอสหรืออีเมล ดังนั้น ผู้เชี่ยวชาญจึงแนะนำไม่ให้ผู้ใช้แชร์โค๊ดที่ได้รับกับใคร#เปลี่ยนทาง ๆ
โดยผู้ให้บริการยังอาจระบุข้อความไม่ให้แชร์โค๊ดไว้ในอีเมลและเอสเอ็มเอสที่ส่งโค๊ดด้วย
การพิสูจน์ตัวจริงด้วยปัจจัยหลายอย่างอาจไม่ได้ผล
ต่อวิธีการฉ้อฉลที่ใช้ในปัจจุบันรวมทั้งเครื่องสกิมเมอร์ที่ตู้เอทีเอ็ม ฟิชชิง และมัลแวร์
ในปี#เปลี่ยนทาง 2017 บริษัทมือถือเยอรมัน O2 Telefónica รายงานว่าคนร้ายได้ใช้จุดอ่อนของโพรโทรคอลระบบโทรศัพท์ SS7 
เพื่อหลีกเลี่ยงวิธีการพิสูจน์ตัวด้วยปัจจัยสองอย่างซึ่งใช้ข้อความเอสเอ็มเอส แล้วถอนเงินบัญชีธนาคารของผู้ใช้ได้
โดยต้องมีการตั้งมัลแวร์ม้าโทรจันบนคอมพ์ของผู้ใช้เพื่อขโมยข้อมูลเข้าบัญชีธนาคารและเบอร์โทรศัพท์ของผู้ใช้ไว้ก่อน
แล้วซื้อบริการจากผู้ให้บริการโทรศัพท์ปลอม เปลี่ยนให้ส่งข้อความไปยังมือถือของตน
ในที่สุดแล้ว ก็จะลงชื่อเข้าใช้บัญชีธนาคารของผู้ใช้ทางออน์ไลน์ได้ แล้วโอนเงินไปยังบัญชีของตน
เพราะรหัสใช้ครั้งเดียวได้ส่งไปยังมือถือของคนร้าย จึงสามารถลงชื่อเข้าบัญชีและโอนเงินได้
ปัญหาเบื่อเอ็มเอฟเอ.
กลวิธีหนึ่งในการแฮ็กระบบเอ็มเอฟเอที่เพิ่มขึ้นเรื่อย#เปลี่ยนทาง ๆ ในปัจจุบันก็คือ 
การส่งคำขอให้ยอมรับการพิสูจน์ตัวจริงไปอย่างซ้ำ#เปลี่ยนทาง ๆ จนกระทั่งผู้ใช้เบื่อจนยอมรับ
การทำให้เกิดผล.
ระบบเอ็มเอฟเอบางอย่างบังคับให้ผู้ใช้ต้องมีซอฟต์แวร์รับบริการเพื่อให้ใช้การได้
บางระบบมีซอฟต์แวร์ติดตั้งต่าง#เปลี่ยนทาง ๆ กันสำหรับการลงชื่อเข้าใช้เครือข่าย เข้าใช้เว็บ และใช้เครือข่ายส่วนตัวเสมือน
สำหรับผลิตภัณฑ์เช่นนี้ จึงอาจต้องติดตั้งซอฟต์แวร์ถึง 4-5 ระบบบนคอมพิวเตอร์แบบตั้งโต๊ะ เพื่อให้ใช้#เปลี่ยนทาง ความปลอดภัยหรือสมาร์ตการ์ดได้
จึงเป็นซอฟต์แวร์ #เปลี่ยนทาง ที่ต้องติดตามรุ่นต่าง#เปลี่ยนทาง ๆ และที่ต้องเช็คดูว่ามีปัญหากับซอฟต์แวร์ที่จำเป็นอื่น#เปลี่ยนทาง ๆ ด้วยหรือเปล่า
แต่ถ้าสามารถเข้าถึงสิ่งที่ต้องทำโดยผ่านหน้าเว็บเท่านั้น ก็อาจต้องมีแอปที่ว่าอย่างเดียวเท่านั้น
หรือถ้าใช้เทคโนโลยีพิสูจน์ตัวอื่น#เปลี่ยนทาง ๆ เช่น โทเค็นฮาร์ดแวร์ ผู้ใช้ก็อาจไม่ต้องติดตั้งซอฟต์แวร์ใด#เปลี่ยนทาง ๆ เลย
มีข้อเสียในระบบเอ็มเอฟเอหลายอย่างที่ทำให้ไม่มีการติดตั้งแล้วใช้อย่างแพร่หลาย
ผู้ใช้บางส่วนอาจมีปัญหาการเก็บโทเค็นฮาร์ดแวร์หรืออุปกรณ์#เปลี่ยนทาง 
บางส่วนอาจไม่สามารถติดตั้งระบบบริการด้วยตนเอง
โดยทั่วไปแล้ว จะต้องลงทุนเพื่อทำให้เกิดผล และมีค่าใช้จ่ายเพื่อทะนุบำรุง
ระบบที่ใช้#เปลี่ยนทาง ฮาร์ดแวร์โดยมากเป็นกรรมสิทธิ์ของบริษัทผู้ผลิต ซึ่งอาจคิดค่าธรรมเนียมต่อผู้ใช้ทุกปี
การกระจายให้ใช้โทเค็นฮาร์ดแวร์ยังลำบากทางโลจิสติกส์อีกด้วย
เพราะโทเค็นฮาร์ดแวร์อาจเสียหาย การแจกจ่ายโทเค็นในอุตสาหกรรมใหญ่#เปลี่ยนทาง ๆ เช่น ธนาคาร หรือบริษัทใหญ่#เปลี่ยนทาง ๆ ก็จะต้องบริหารอย่างเข้มงวด
นอกจากค่าใช้จ่ายเพื่อกระจายให้ใช้ ยังมีค่าใช้จ่ายเพื่อช่วยเหลือผู้ใช้อีกด้วย
งานวิจัยเกี่ยวกับการนำเทคโนโลยีนี้ไปใช้
พบว่า องค์กรประเภทต่าง#เปลี่ยนทาง ๆ ยอมรับเทคโนโลยีเอ็มเอฟเอต่าง#เปลี่ยนทาง ๆ ได้ไม่เหมือนกัน
ตัวอย่างเช่น รัฐบาลกลางสหรัฐมักใช้ระบบโทเค็นฮาร์ดแวร์ที่ซับซ้อนซึ่งก็เป็นระบบที่รับรองด้วยการเข้ารหัสแบบกุญแจอสมมาตร 
และเช่นธนาคารซึ่งมักนิยมระบบเอ็มเอฟเอที่ใช้ง่ายกว่าและมีค่าใช้จ่ายน้อยกว่า เช่น ใช้แอปที่ติดตั้งในสมาร์ทโฟนของลูกค้าเอง
แต่ถึงจะต่างกันอย่างนี้ เมื่อติดตั้งและใช้ระบบแล้ว ก็จะกลายเป็นปกติ โดยผู้ใช้เองก็จะรู้สึกคุ้นกับระบบแล้วยอมรับได้ว่าเป็นเรื่องธรรมดาเพื่อให้ลงชื่อเข้าใช้บัญชีที่จำเป็นได้
แม้จะดูเหมือนว่า ระบบเอ็มเอฟเอจะให้ความปลอดภัยได้อย่างบริบูรณ์
นักวิจารณ์ก็ยังระบุว่า ถ้าไม่ทำให้เกิดผลหรือติดตั้งอย่างสมบูรณ์ ก็ยังถูกแฮ็กได้
สิทธิบัตร.
ในปี#เปลี่ยนทาง 2013 นักประกอบการชาวฟินแลนด์-เยอรมัน คิม ด็อตคอม อ้างว่าได้ประดิษฐ์การพิสูจน์ตัวจริงด้วยปัจจัยสองอย่างตามสิทธิบัตรที่จดในปี#เปลี่ยนทาง 2000
แล้วจึงสามารถขู่ฟ้องศาลผู้บริการเว็บรายใหญ่#เปลี่ยนทาง ๆ ได้ทั้งหมดเป็นระยะเวลาสั้น#เปลี่ยนทาง ๆ
แต่ต่อมาสำนักงานสิทธิบัตรยุโรปได้ยกเลิกสิทธิบัตรนี้
เพราะบริษัทเอทีแอนด์ทีได้จดสิทธิบัตรเยี่ยงนี้ตั้งแต่ปี#เปลี่ยนทาง 1998 แล้ว
เชิงอรรถและอ้างอิง.
<templatestyles src="Reflist/styles.css" />
แหล่งข้อมูลอื่น.
<templatestyles src="Refbegin/styles.css" />