Двухфакторная защита строится на простой идее: чтобы войти, нужно и то, что вы знаете, и то, чем вы владеете.

Двухфакторная защита строится на простой идее: чтобы войти, нужно и то, что вы знаете, и то, чем вы владеете. Пароль легко скопировать незаметно, а вот забрать одновременно и пароль, и физическое устройство — задача другого уровня.
Факторы неравнозначны. Код из приложения-генератора живёт в телефоне и не зависит от связи и оператора. Аппаратный ключ ещё надёжнее, потому что подтверждает вход только настоящему сайту и не отдаёт ничего поддельной странице. Коды по SMS слабее прочих, но это всё равно несравнимо лучше, чем ничего.
Отдельно стоит уточнить, что не является вторым фактором. Контрольный вопрос про девичью фамилию матери — это второй пароль, причём известный половине окружения. Подтверждение по электронной почте — это перенос защиты на почтовый ящик: если он не защищён, вся конструкция висит на нём.
Практический порядок внедрения такой: сначала включить второй фактор на почте, потому что через неё восстанавливают всё остальное, потом на менеджере паролей, потом на деньгах и на рабочих системах. Дальше — по мере важности, но первые три пункта закрывают основную часть риска.