การพิสูจน์ตัวจริงด้วยปัจจัยหลายอย่าง
โทรศัพท์เคลื่อนที่

การพิสูจน์ตัวผู้ใช้ด้วยข้อความโทรศัพท์เริ่มขึ้นตั้งแต่ปี 1996 เมื่อบริษัทเอทีแอนด์ทีระบุระบบที่อนุญาตให้ทำธุรกรรมโดยอาศัยโค๊ดที่ส่งไปยังวิทยุติดตามตัว
ระบบพิสูจน์ตัวผู้ใช้ด้วยปัจจัยหลายอย่างมักจะอนุญาตให้ใช้โทรศัพท์เคลื่อนที่เป็นปัจจัยด้วย
วิธีที่ใช้รวมการส่งคำขออนุญาตด้วยแอป (push-based) การส่งรหัสคิวอาร์ การใช้รหัสที่ใช้ครั้งเดียว (OTP ซึ่งใช้ได้อย่างจำกัดเวลา) และการส่งโค๊ดทางข้อความเอสเอ็มเอส
การใช้โทรศัพท์เป็นปัจจัยมีปัญหาความปลอดภัย
เพราะข้อมูลที่กำหนดเบอร์โทรศัพท์ก็สามารถก๊อปได้ ข้อความเอสเอ็มเอสจึงอาจจัดให้ส่งไปที่โทรศัพท์อื่นได้
แอปที่ใช้รับรหัสก็สามารถมีได้ในอุปกรณ์อื่น ๆ ช่างที่ซ่อมโทรศัพท์ก็สามารถเข้าดูข้อความในโทรศัพท์ได้
ดังนั้น รวม ๆ แล้ว โทรศัพท์จึงยังไม่ค่อยปลอดภัย เพราะไม่ใช่อะไรที่ผู้ใช้เท่านั้นมี
นี่เทียบกับข้อเสียของการพิสูจน์ตัวผู้ใช้โดยสิ่งที่มีโดยเฉพาะ ๆ ซึ่งก็คือ ผู้ใช้ต้องถือเอาโทเค็นที่เป็นวัตถุไปด้วยอยู่ตลอดเวลา ไม่ว่าจะเป็นอุปกรณ์ยูเอสบี บัตรธนาคาร หรือกุญแจอะไรบางอย่าง
ซึ่งก็อาจหายหรือถูกขโมยได้
อนึ่ง องค์กรหลายแห่งห้ามการถืออุปกรณ์อิเล็กทรอนิกส์หรืออุปกรณ์ยูเอสบีเข้าหรือออกจากอาคารเพราะกลัวมัลแวร์หรือถูกขโมยข้อมูล 
เหมือนกับที่เครื่องมืออุปกรณ์อันสำคัญที่สุดจะไม่มีช่องยูเอสบี
อีกอย่างหนึ่ง โทเค็นฮาร์ดแวร์แบบเฉพาะ ๆ ยังขยายใช้ได้ไม่ง่าย เพราะปกติจะต้องใช้โทเค็นอันหนึ่งต่อบัญชีต่อระบบ
การแจกและการต้องเปลี่ยนโทเค็นแบบนี้ยังมีค่าใช้จ่ายเพิ่ม
ดังนั้น ความขัดแย้งระหว่างการใช้ง่ายกับความปลอดภัยจึงเป็นปัญหาที่เลี่ยงไม่ได้
การพิสูจน์ตัวจริงด้วยปัจจัยที่สองโดยใช้โทรศัพท์เคลื่อนที่หรือสมาร์ทโฟน เป็นทางเลือกของการใช้อุปกรณ์เฉพาะอย่าง
เพื่อจะพิสูจน์ตน ผู้ใช้สามารถใช้ข้อมูลลับส่วนตัวสำหรับอุปกรณ์นั้น (เป็นสิ่งที่ผู้ใช้เท่านั้นรู้) บวกกับรหัสใช้ครั้งเดียวที่สร้างขึ้นเรื่อย ๆ โดยปกติเป็นเลขรหัส 4-6 ตัว
เลขรหัสอาจส่งไปที่โทรศัพท์
ผ่านข้อความเอสเอ็มเอส หรืออาจสร้างขึ้นโดยแอปที่สร้างรหัสใช้ครั้งเดียว
ข้อดีก็คือไม่ต้องมีอุปกรณ์โทเค็นโดยเฉพาะ ๆ เพราะผู้ใช้ปกติก็มีมือถือติดตัวอยู่แล้ว
แม้การพิสูจน์ด้วยเอสเอ็มเอสจะเป็นที่นิยม แต่ก็มักจะถูกวิจารณ์ในด้านปัญหาความปลอดภัย
ในเดือนกรกฎาคม 2016 สถาบันมาตรฐานและเทคโนโลยีแห่งชาติสหรัฐ (NIST) ได้ร่างแนวทางปฏิบัติที่เสนอให้เลิกใช้ข้อความเอสเอ็มเอสเป็นเครื่องพิสูจน์ตัวจริง
แต่อีกปีต่อมา สถาบันก็กลับระบุเป็นวิธีพิสูจน์ตนได้เหมือนเดิม
บริษัทกูเกิลในปี 2016 และบริษัทแอปเปิลในปี 2017 ได้เริ่มให้ผู้ใช้พิสูจน์ตนด้วยข้อความเตือนแบบ push notification
โดยใช้เป็นทางเลือกอย่างหนึ่งของปัจจัยที่สอง
ความปลอดภัยของโทเค็นที่อาศัยโทรศัพท์เคลื่อนที่จะขึ้นอยู่กับการรักษาความปลอดภัยของผู้ใช้โทรศัพท์ โดยยังรั่วได้ง่ายเนื่องกับการดักฟังหรือการลอกซิมที่องค์กรความมั่นคงของชาติต่าง ๆ อาจจะทำ
ไม่ต้องมีอุปกรณ์ต่างหาก ๆ เพราะใช้มือถือที่ติดตัวผู้ใช้อยู่ตลอด
เพราะรหัสเปลี่ยนไปเรื่อย ๆ จึงปลอดภัยกว่าข้อมูลนิ่งที่นำไปลงชื่อใช้
เพราะรหัสเปลี่ยนไปเรื่อย ๆ รหัสที่สร้างขึ้นแต่ผู้ใช้ไม่ได้รับเพราะปัญหาการส่งการรับ จะไม่ขัดการลงชื่อใช้ในครั้งต่อ ๆ ไป
ผู้ใช้ยังไม่พ้นปัญหาฟิชชิง เพราะคนร้ายอาจส่งข้อความเอสเอ็มเอสอันมีลิงก์ไปยังผู้ใช้โดยลิงก์ไปยังเว็บไซต์ที่ปลอมได้เหมือนจริง แล้วหลอกเอาชื่อผู้ใช้ รหัสผ่าน และโค๊ดพิสูจน์ตนจากผู้ใช้
มือถือก็ไม่ใช่จะใช้ได้อยู่ตลอดเวลา เพราะหายได้ ถูกขโมยได้ แบตหมด หรืออาจเสีย
แม้จะนิยมขึ้นเรื่อย ๆ ผู้ใช้บางคนก็ยังอาจไม่มีมือถือ และอาจโมโหว่าถูกบังคับให้ใช้เพื่อจะเข้าถึงบริการบางอย่างที่มีให้ใช้ในคอมพิวเตอร์ของตน
สัญญาณมือถือก็ไม่ใช่จะมีทุกที่ เพราะมีพื้นที่นอกเมืองที่ไม่มีสัญญาณ
การลอกซิม (SIM cloning) อาจทำให้แฮ็กเกอร์ใช้โทรศัพท์มือถือที่ถูกก๊อปได้ อนึ่ง คนร้ายอาจหลอกพนักงานบริษัทมือถือให้ส่งซิมที่เหมือนกับซิมของลูกค้าไปให้ได้
ข้อความเอสเอ็มเอสที่ส่งไปยังโทรศัพท์ไม่ได้เข้ารหัสลับและยังสามารถถูกดักฟังโดยอุปกรณ์ที่เรียกว่า IMSI-catcher ดังนั้น บุคคลอื่นจึงอาจขโมยแล้วใช้โทเค็นได้
สมาร์ทโฟนปัจจุบันใช้รับทั้งอีเมลและข้อความเอสเอ็มเอส ถ้าโทรศัพท์หายหรือถูกขโมยโดยไม่มีรหัสผ่านหรือการป้องกันด้วยลักษณะทางชีวมิติเช่นลายนิ้วมือ บัญชีทุกบัญชีที่ใช้อีเมลเป็นชื่อผู้ใช้และมีโทรศัพท์เป็นปัจจัยพิสูจน์อย่างที่สองก็จะถูกแฮ็กได้ทั้งหมด
ในบางพื้นที่ บริษัทมือถืออาจคิดค่าใช้จ่ายเพื่อรับข้อความเอสเอ็มเอส