В общем, когда сессия уже жива, MFA почти бессилен — все упирается в то, кто владеет этим токеном доступа. Push fatigue реально крутой ход: сколько раз не тыкай "Ок", а ты админу уже. Вот FIDO2 пока что единственное, что настоящие защиты даёт — криптография работает на уровне домена, и никакой фишинг-прокси не пройдёт. Но массово это далеко не внедрено, так что пока кучу дырок в защите надо учитывать.