W większości przypadków dostanie te sześć cyferek - oczywiście wraz z PIN-em. W innym scenariuszu użytkownik wprowadzi do tokena podane cyferki i poda przez telefon lub e-mailem odpowiedź urządzenia. W mniejszych firmach, ze względu na mniejszą anonimowość, jest to trudniejsze do zrealizowania. Dział informatyki rozpoznaje niemal wszystkich pracowników po głosie. Ponadto zna ich obyczaje i od razu wychwyci nienaturalne zachowanie. Najlepszą metodą obrony przed próbami ataków socjotechnicznych są dobre procedury uwierzytelnienia, wysoka świadomość użytkowników oraz... "zdrowa podejrzliwość" wobec obcych.

Tokeny bazujące na zegarze (takie jak breloczki RSA SecurID) są dobrym zabezpieczeniem, o ile plik zawierający podstawę szyfrowania w tokenach (tzw. token seed) jest bezpieczny. Jeśli włamywaczowi uda się uzyskać token seed, może obliczyć wskazania tokena w konkretnej chwili. Wymaga to pewnych dodatkowych zabiegów, ale w połączeniu z dobrze dopracowaną socjotechniką ma szansę powodzenia.

Można np. próbować przekonać dział informatyki, że token się rozsynchronizował i trzeba dokonać synchronizacji na serwerze na podstawie wskazań. Wtedy dostosowuje się serwer do "fałszywego tokena". Po ataku takie działanie spowoduje odmowę dostępu, gdy prawdziwy użytkownik będzie się chciał zalogować (to powinno wywołać alarm). Można też zrobić odwrotnie - uzyskać od pracowników odczyty tokena, by otrzymać odchylenie zegara (tzw. time offset) w tokenie. Wtedy alarmu nie będzie.

Hasła jednorazowe można ukraść. Jeśli są wydrukowane, można je po prostu skopiować na kopiarce albo za pomocą aparatu cyfrowego wbudowanego w telefon komórkowy. Często leżą pod klawiaturą, w szafce obok biurka bądź wręcz na widocznym miejscu obok monitora. Obok klawiatury można czasami znaleźć token w gustownym czerwonym pudełku, na którym naklejono kartkę z PIN-em. Zatem raz jeszcze dochodzi się do problemu współpracy i świadomości pozostałych użytkowników.

Skarb na śmietniku

Bardzo dobrym źródłem informacji jest stos papierów walających się w okolicy drukarki sieciowej. Można tam znaleźć ciekawe rzeczy: spis pracowników wraz z ich telefonami, odpisy przelewów, projekty umów handlowych, kopie faktur czy nawet ważniejsze dokumenty. Śmietnik jest od dawna poważnym źródłem informacji o firmie i do dziś jest wykorzystywany przez szpiegów gospodarczych.

Obrona przed pozyskiwaniem informacji z wydruku jest trudna, gdyż zakłada współpracę użytkowników. Można zastosować środki techniczne, takie jak oznaczanie wydruków każdego użytkownika. To jednak wciąż tylko półśrodki.