２段階認証まで突破されたら、ぶっちゃけユーザー側の非はほとんど無いやろ。

金融相が直に「乗っ取り対象になった案件は保証せーよ」って言ってるレベルなのでユーザー側で常識的なセキュリティをしてるなら、とりあえずは保証対象になる。
自分からフィッシングに掛かってログイン情報お漏らししてるムーニーマンなら知らんが