Продублирую пример с банк-клиентом, лк втб я могу оставить залогененым (минут на 15, кажется, длина сессии) всё что можно будет сделать без 2фа это гонять бабло между счетами мира и мастеркард (моими). Вывести бабки налево фиг выйдет - нужен код из смс. 
А тут выходить что со включенной 2фа можно "заблокировать" акк уведя его на новый номер, а без оной - спереть с концами и на старый номер даже аллерта не придет. И никакой задержки нет. Было бы раумно кинуть хотя-бы смс на старый номер (в идеале с кодом) типа "для смены номера введите этот код в клиенте. Или, хотя бы. ту же смс "номер был сменен, если это были не вы перейдите по ссылке (на техсап). 

но надо же как то проверять смену номера