Раньше двухфакторка была почти панацеей, теперь видно — она лишь на момент входа срабатывает. После получения сессионного токена защита снимается, и злоумышленник гуляет. SMS и пуши реально слабы, с SIM-свопингом и усталостью пользователей — их обходить проще пареной репы. FIDO2 — вот где защита крепкая, там криптография и привязка к домену играют ключевую роль, но пока большинство сидит на старом добром «коде из смс».