Услуга авторизации по звонку
https://voicepassword.ru станет отличным решением. Даже если злоумышленник каким-то образом узнал логин и запросил восстановление, код придёт на привязанный номер в виде звонка. Перехватить или автоматически получить его через онлайн-сервисы для SMS гораздо сложнее. Внедрить это можно через API специализированных сервисов, делается это довольно быстро.