Ну так-то все понятно. Давно прошло то беззаботное время, когда количество взломов аккаунтов исчислялось единицами и простенькие пароли на самом деле спасали только от уж самых тупых и простых попыток взлома. Сейчас даже не самый мощный компьютер может взломать простой пароль обычным методом брут-форс (то есть простым перебором) за минуты. Поэтому и усложнение паролей и усложнение самой процедуры авторизации, например двухфакторная. Для ЛИРУ это конечно лишнее, а для чувствительных сайтов, типа госуслуг - точно надо.
"Куда идем" - в смысле цели, то это вопрос философский и вряд ли кто-то скажет. :) А вот "как идем" - это как раз понятно. Злоумышленники и админы сайтов в постоянной борьбе друг с другом и все идет в формате гонки усложниений и с той и с другой стороны.

хакеры не спят и я бы не хотела, чтоб под моим простым паролем быстро вышли на всем мои личные и банковские данные. Потери в больших компаниях исчесляются в миллионы, в случае взлома. Так что верным путем идем!