Pero en realidad lo que está ocurriendo es que el atacante está dentro de la cuenta sin la necesidad de tener la contraseña del usuario.