@Briolet: zelden ben ik het eens met Karma4, maar deze keer wel. Er is alleen sprake van 2FA als van volstrekt gescheiden kanalen gebruik gemaakt wordt, zowel op de heenweg (hier wel) als op de terugweg (hier niet [*]). Deze DigiD SMS "2FA" is uitsluitend bedoeld als lapmiddel voor mensen die crappy wachtwoorden gebruiken. Met een random gegenereerd wachtwoord van redelijke lengte voegt die halfbakken SMS 2FA niets toe qua beveiliging voor mij - integendeel. Deze 2FA is net zo betrouwbaar als je pinpas in een pinpaslezer stoppen (vooral bij draadloze appraraten op terras, markt en bij collectanten aan de deur) en met "2FA" (niet dus) betalen: je zult de persoon die zo'n pinapparaat onder je neus duwt moeten vertrouwen, en hopen dat hij dat ding zodanig heeft beveiligd dat deze niet gehacked blijkt (google eens naar pinpaslezer en zie hoeveel advertenties voor goedkope junk Google toont). Maar daarbij staat mijn bank nog garant en kan ik storneren als er een groter bedrag is afgeboekt dan waar ik mee ...