SMS- und TOTP-Codes sind kryptografisch an die aufgerufene Domain gebunden.

Der Schutz von 2FA beschränkt sich darauf, dass sich ein Angreifer nicht beliebig oft erneut einloggen kann, was bei Echtzeitangriffen irrelevant ist.

Eine Proxy-Webseite des Angreifers leitet Passwort und 2FA-Code in Echtzeit an den echten Dienst weiter und übernimmt das gültige Sitzungs-Cookie.

2FA-Codes können von einem AiTM-Proxy grundsätzlich nicht abgefangen werden.

Nach einem erfolgreichen AiTM-Angriff hat der Angreifer nur eingeschränkten, schreibgeschützten Zugriff.