（有一个高度相关的问题，但是我相信我的问题不是重复的，因为它涉及在不访问帐户的情况下重置密码，而不是在登录时更改密码。）
假设有人访问了我用来注册某些帐户的电子邮件。还假设这些帐户都具有某种 2FA，无论是由应用程序生成的 30 秒代码还是 U2F 密钥 - 类型对我的问题无关紧要。
在我的理解中，攻击者要想更改账号密码，有两种方式：
登录帐户并在内部设置中更改密码，而不使用关联的电子邮件。即使我们的计算机/电话处于无人看管的状态，相关帐户的活动会话，因此绕过黑客也猜测帐户密码的需要，更改仍然是不可能的。这是因为，正如上面链接的问题中所解释的，这将需要至少2FA 验证，可能需要 2FA + 原始帐户密码。
在帐户的登录屏幕上，使用“重置密码”选项将重置电子邮件发送到我们认为黑客可以访问的电子邮件帐户。我对接下来会发生什么感到困惑：
- 首先发送重置电子邮件需要2FA吗？如果不，
- 由于 2FA 仍然存在，攻击者是否能够重置密码，但不能实际登录？这实质上意味着他们无法访问该帐户，但我们也不能。
- 攻击者是否能够重置密码并登录帐户，因为 2FA 不知何故变得无效？
当然，从合法用户的角度来看，场景 1) 是最可取的，2) 明显更糟，3) 是悲剧性的。但是，当有人尝试为启用了 2FA 的帐户重置密码时，实际上会发生哪一种情况？