Как избежать использование одного аккаунта несколькими людьми?
Посмотрите как это реализовано в других проектах (Webmoney, Steam и.т.д). 
* Определяем, что пользователь зашел с другого компа (отличается ip(сетка), географическое положение, нет нужных кук, как хотите)
* Высылаем пользователю на почту код и просим ввести его
* Если вводит, предлагаем сохранить этот комп в списке доверенных.
Можете добавить запись его IP, если он изменился, то требуется подтверждение через код из смс, либо емэйл. Но, по факту, более надёжной схемы для интернета, кроме номера телефона, вроде и нет. Если вы не ведёте аутентификацию по биометрическим данным, то подделать довольно легко. А подтверждение по биометрическим ключам, пока особо не возможно. Даже банки используют двухступенчатую аутентификацию пока(пароль + смс).