Двухфакторная аутентификация: пароль + email?
сделайте как на всяких дропбоксах с гуглами: пароль + одноразовый код, генерируемый специальным приложением.
Раньше некоторые операторы предоставляли сервис гейта, позволявшего отправить СМС посылая ёмыл на адрес гейта. Потом гейт сделали не от ёмыл, а от веб-странички с капчей, ибо спамили так. Не знаю, все ли позакрывали гейты или у кого-то осталась такая возможность? Наверняка есть, но скорее всего за деньги (контракт). Ведь всякие там магазины-банки посылают. Поинтересуйтесь у операторов связи, есть ли такая возможность и на каких условиях.
Другой вариант двухфакторной аутентификации - приложение на смартфоне, которое генерирует по хитрому алгоритму сменяющиеся каждые 30 секунд коды по "соли" (или "семени"), заданному пользователю сайтом, в любой момент времени по алгоритму и этой "соли" рассчитывается текущий ключ и сравнивается ввод пользователя с рассчитанным значением.