Смена пароля через ЛК

[Gozya]

Вот угнали у моего друга акк и я задумался о смене пароля, зашел в ЛК и облом, при нажатии на смену пароля запрашует логин и мыло, ввожу, пишет, что операция успешна и на этом все! Никаких писем, НИЧЕГО, тупо 0 реакции!
Задался вопросом, а как злоумышленник будет менять мыло, так оказывается там нужно просто ввести старое и новое мыло и оно сменено, тупо? А не лучше ли сделать контрольный вопрос, что бы пользователь при регистрации ввел вопрос и ответ который ТОЛЬКО ОН может знать и при смене мыла или пароля этот вопрос задавать (а так же установить количество попыток и таймауты), и левый человек никогда не сможет спереть акк.
Я заметил, что угон аккаунтов тут в популярности, если даже у моего друга сперли акк, а он не дурак вестись на разводы, чел прохаваный, та и он в ЛК не входит, даже на сайт циркуля не заходит, он просто играет время от времени и все, и тут бац, ввели неверные данные.
У вас защиты тупо 0.

---------- Добавлено в 01:55 ---------- Предыдущее сообщение было размещено в 00:08 ----------

Вот сейчас пришло письмо, при чем в спам сразу попало. От robot@wowcircle.com с названием темы logon.wowcircle.com
В письме нет НИЧЕГО вообще, есть только вложение, которое весит 140b и не имеет "опознавательных знаков", тобиш нет расширения, только имя "download..." и цифры какие то. И как изволите это понимать?

[Wwwlep]

В новом личном кабинете будут учтены недоработки старого, в том числе и усиление безопасности. Касательно Вашей ситуации, зайдите на свою почту и настройте фильтры спама, чтобы пропускало письма от robot@wowcircle.com

[Gozya]

письмо то я из спама вытащил, открыл, но оно пустое и лишь непонятное вложение имеется

---------- Добавлено в 07:57 ---------- Предыдущее сообщение было размещено в 07:50 ----------

сохранил вложение на кампе, обозвал его блабла.txt и надо же, в нем ссылка на активацию пароля и сам пароль.
прям ролевая игра какая то. найди письмо, отрой вложение, вскрой его и получиш рандомный пароль с уровнем безопасности ниже среднего, ибо генерить рандомные пароли в нижнем регистре, без знаков и только буквами это "ниачем". можете это добавить в список пожеланий к новому ЛК, а вообще лучше обязать людей самим себе делать посложнее пароли, чем выдавать такой, что только на бумажке записывать.