> Зачем на каждую попытку слать? При аномальном всплеске относительно общего количества хотя
> бы. В идеале — если также в неудачных паролях замечена какая-то
> общность.

Ну и вот, пытались раз в сутки, стали 100 раз, пришла смс, ну ок, пытаются, снова упала активность, снова выросла опять выросла, ботнет долбит одну сеть потом дгугую, потом первую, что пароль чтoле менять, ну допустим так сделают. Станут специально долбить периодично, чтобы генерировать смс и вынуждать пароли менять, а зачем сложный если раз в неделю меняешь, пароли станут проще, проще ломать.

> Даже для супер-пальца нужен будет доступ к устройству. В этом кейсе (и во многих других) у злоумышленника этого не было.

А ты зайди с другого конца, украли телефон, разлочили, софт там дырявый, или просто трояна подсадили, и оттуда же хакнули, даже пароль не надо, через восстановление, или надо еще почту прикручивать, и на телефоне не хранить пароль/куки-сеанса почты, так потвоему, а почту на другую почту завязывать и ту на другой номер, да это бред.