Kẻ tấn công có mật khẩu vẫn không vào được nếu không có mã từ thiết bị của chủ tài khoản. Một câu bốn năm từ dễ nhớ lại khó dò hơn nhiều so với chuỗi tám ký tự lộn xộn mà chính người dùng cũng không nhớ nổi.