Достаточно ли логина, пароля и резервного кода, чтобы угнать аккаунт?

Question

[dollar]

Предположим, злоумышленник заполучил логин, пароль и один из неиспользованных резервных кодов (это значит, что двухфакторая авторизация включена).

Понятно, что этого достаточно, чтобы полазить по аккаунту, почитать личную переписку, а также сделать какую-нибудь бяку типа удаления сервера. Но достаточно ли этого, чтобы полностью угнать аккаунт?

К слову, зайдя в аккаунт, злоумышленник (как и сам пользователь) может увидеть точный адрес почты, телефон, всю историю финансовых операций. Поэтому при общении с тех. поддержкой в случае угона, знания этих подробностей ничего не дадут.

Answer 1

[fenrir]

В случае с дискордом все это избыточно.
Угоняют токен аккаунта, в отличии от пароля пользователь не может его сменить, а зная токен не нужен ни пароль ни двухфакторка.

Comments

[dollar]

Но ведь можно "выйти на всех устройствах".
Не значит ли это, что токены автоматически устаревают?

spoiler

[fenrir]

dollar, ну вы вышли, а дальше что? Токена достаточно для входа и совершения любых операций на аккаунте и пользователь не может его сам сменить.