Скорее всего, это действие "имени" - то есть login во многих случаях.
Всё дело в том, что атаковать пользователя можно, не зная пароля, не взламывая соц.сеть или e-mail.
Если (я серьёзно и с пониманием), сейчас происходит сбор информации, путём "официального" фишинга, то это не удивительно.
Самое лучшее - отключить авторизацию по SMS, отключить авторизацию через Facebook, VK, Google, и оставить только 2FA, через тот самый изменяющийся код.