Не всё так просто с MFA. Да, FIDO2 — это круто, но массово перейти на него сложно и долго. Пока что в реальности большинство организаций и пользователей сидят на SMS и пушах, и именно там вся эта социальная инженерия и утомление работают на злоумышленников. MFA не панацея, она всего лишь часть общей защиты, а сессия после авторизации часто остаётся слабым звеном, которым ловко пользуются.