Если с аккаунта на этом сайте можно хорошо подгадить человеку, деньги украсть, контакты, личные данные, то можно считать не защищенным хорошо
Если к аккаунту прикрепляется кредитная карта или имеется счет, с которого можно перевести деньги, то двухфакторная авторизация необходима.
у меня интернет-банк в четырех банках. только в один нельзя войти без смс. во втором это рекомендуемая опция. в третьем используется хардварный токен. в четвертом тупо только логин/пароль без вариантов. видимо PCI/DSS не содержит требования о двухфакторной аутентификации.