nikdzed, по кукам в теории вроде никак. Если сайт кривой, и через сниф отдает тот же access token, то с другого акка своего снифай запрос от самого 2фа (включение, отключение - главное чтобы сам секретный ключ палился), ну и в последствии так пытайся зайти