Как я "взломал" чужой аккаунт на Большомсайте

Давно не ходил я на Большойсайт, а тут вдруг мне написал что-то один из "друзей" на этом сайте. Обычный повод чтобы заглянуть туда, хотя часто это просто спам. После нескольких неудачных попыток залогиниться решил воспользоваться опцией "забыл пароль".

Там меня попросили ввести логин. Ну ввожу один из стандартных "prudnikov". Ок. Просят ввести фамилию отца. Понятно что она такая же как у меня. Ввел. Дальше предложили ввести и подтвердить новый пароль. Ввожу. Ок. Логинюсь. И что я вижу? Вижу что вошел под другим человеком у которого тоже фамилия Прудников.

Ошибки которые допустили на этом сайте:

• Для входна нужно использовать адрес электронной почты а не "логин". Это довольно частая ошибка, хоть и ошибкой ее назвать можно с натяжкой. Это ошибка со стороны юзабилити. Свою почту я всегда помню, но вот какой я использовал логин для регистрации запоминать нереально. Кроме того, это на 1 поле меньше при регистрации.
• Нельзя предлагать пользователю устанавливать новый пароль сразу после ответа на секретный вопрос. Правильнее высылать на указанный адрес электронной почты секретную ссылку, по которой пользователь может установить новый пароль. Еще лучше ограничить срок действия этой ссылки по времени.

P.S. Это было давно и драфт поста лежал все это время. Попробовал залогиниться сейчас — неудача. Видно настоящий пользователь этого аккаунта изменил пароль методом восстановления.

P.S.S Имя сайта решил не светить да бы обезопасить этот аккаунт. Сам я на нем естественно ничего не делал.