携帯電話、メール、Google認証システムのすべてが検証できる前提で、しかもあなたの顔認証を使って、一つ一つあなたのすべての安全検証対策を突破する

知りたいのは、これが本人の操作ではない場合、どうやってできるのかということです？しかも認証コードは元の端末とメールにもあります、ここが矛盾していますね。
私はよく理解できていないのですが、しかし軽率に結論を下したくはありません。わかる人がいれば教えてくれませんか。