待验证50% 置信事实精确时间
针对实时钓鱼代理（如Evilginx）的攻击可以截获会话令牌，因此MFA并非万能。
1
来源数
50%
置信度
长期有效
时效性
2026/10/20
首次发现
来源
涉及实体
相关事实
待验证抗钓鱼MFA（如FIDO2/WebAuthn硬件密钥或平台通行密钥）能抵御实时钓鱼和中间人攻击，因为认证绑定到具体网站的源，钓鱼域名无法获得有效签名挑战响应。68% 相似待验证APT攻击者会主动清除日志、伪造时间戳、利用合法工具（即离地攻击，Living off the Land）规避检测66% 相似待验证基于短信验证码的MFA容易遭受SIM卡劫持攻击，基于推送通知的MFA可能被MFA疲劳攻击突破66% 相似待验证工具滥用指Agent被诱导以攻击者期望的参数调用合法工具，常通过组合先查询PII再经邮件或webhook外发数据，边界防护通常不会拦截。65% 相似待验证即便Agent被提示注入（Prompt Injection）攻击劫持，网关层的硬性拦截仍能阻止未授权操作65% 相似
引用此条事实
Stable URI
https://kongchang.com/claim/1074929API
curl https://kongchang.com/api/v1/knowledge/claims/1074929MCP
get_claim(id=1074929)