Mỗi ngày, hàng triệu người đăng nhập vào email, ứng dụng ngân hàng hoặc tài khoản mạng xã hội bằng cả mật khẩu và một mã xác thực đăng nhập gửi qua tin nhắn. Những mã này thường đi kèm cảnh báo: “Không chia sẻ mã này với bất kỳ ai.” Tuy nhiên, người nhận được cảnh báo đó lại không cách nào biết được có ai đã nhìn thấy mã trước khi nó đến tay họ không.

Khi các công ty tạo ra tin nhắn chứa mã xác thực hai lớp, họ gần như không bao giờ tự gửi trực tiếp. Thay vào đó, họ thuê ngoài công việc này, để mã được chuyển qua một mạng lưới trung gian phức tạp trước khi đến nơi. Do những điểm yếu cố hữu của định dạng SMS — tiêu chuẩn công nghệ tin nhắn văn bản đã tồn tại nhiều thập kỷ — các bên trung gian xử lý tin nhắn có thể nhìn thấy nội dung. Nhưng vì hệ thống quá phức tạp, cả người gửi lẫn người nhận đều không thể biết chính xác ai đã xử lý thông tin trên đường đi.