Относительно недавно в сети новость была о том, что у какого-то блогера-миллионника на ютубе канал спёрли из-за этой самой двухфакторки.
Суть была такая: по предварительному сговору оператор сотовой связи "продал" активный номер другому лицу, который восстановил пароль от аккаунта через СМС и всё. Чел догнать так ничего и не смог.
Ну так это уже человеческий фактор. Ни одна информационная система не защищена от такого. Да, 2фа не панацея, но защита в 99% случаев.