Иногда на 2ФА переводят принудительно. А иногда -- неявно.
Уже не первый раз встречаюсь с ситуацией, когда при включённой 1ФА ввести пароль оказывается недостаточно.
"А давайте вы ЕЩЁ введёте код из привязанного почтового ящика. Мы вам отправили"
"А какой ответ на контрольный вопрос?"
"А предыдущий пароль вспомнить сможете?"
"Когда вы в прошлый раз заходили в аккаунт?"
(тут, конечно, есть и мои фантазии)
Ёпт, не знаю, смогут ли эту информацию указать злоумышленники, но владелец аккаунта указать сможет не всегда.
Давайте уж лучше принудительную 2ФА, а не эти квесты.