Как защититься от передачи пользователями аккаунтов третьим лицам?
А никак. Потому как всегда найдется банальный способ все это обойти - передающий выполняет логин сам, после чего отдает управление компьютером напарнику.
От добровольного "угона" вас ничто не спасет.
Вы можете привязать пользователя к его машине, считав все характеристики, которые только можно считать (браузер, ОС, и т.п.). Далее зашифровать все в хэш, и сохранить в БД + куки. Минус такого подхода очевиден - при попытке войти с другого ПК доступ будет запрещен, но это можно обойти, разрешив пользователям прикреплять устройства в своем личном кабинете.
P.S. помнится, читал на хабре статью про подобный железобетонный способ идентификации, но за давностью дела не могу найти...