GAB D.

Nem sempre o primeiro fator solicitado será uma senha, tem sites que você coloca o e-mail, por exemplo, e já solicita uma outra forma de autenticação que não é a senha, como um código no e-mail ou SMS.

Complementando o colega:

No MFA, é possível existir três tipos de classificação:

O que você sabe ( ex: senha, email, pergunta de segurança ex: qual o nome do seu primeiro pet, etc )

O que você tem ( ex: sms, ligações telefônicas, aplicativos próprios de autenticação ex: Google Authenticator, Microsoft Authenticator )

O que você é ( ex: biometria, leitura facial, irís dos olhos, etc )