Вся эта тема с AiTM реально показывает, что простые MFA уже не спасают. FIDO2 — почти единственный вариант, который толком держит удар. Остальные методы, даже с push или TOTP, легко обходятся с помощью таких прокси. Так что если хотите реально защититься — без аппаратных ключей и строгих политик никуда.