Szerintem kifejezetten szerencsés, hogy ugyanoda esik be a jelszóemlékeztető mint a második faktor kódja. ;) Így elég csak az email-t kompromitálni.