http://gihyo.jp/news/info/2014/12/0801

サーバー管理画面のセッションが残っていると認証済みとみなされら、パスワード変更してもアクセス可能だったと。。。

こういうことも考えると、今後、二段認証は必須になっていくんでしょうね。。。