Ao acessar um serviço, um usuário utiliza uma senha longa e exclusiva e confirma o login por aplicativo autenticador. Se uma página falsa capturar a senha, o segundo fator pode dificultar o acesso indevido, embora não elimine todos os riscos. A autenticação em dois fatores, portanto, acrescenta proteção, mas não torna dispensável a verificação contra phishing.