Если Yubikey ничего подобного RSA SecureID делает работает, то нет, они не могли ворваться без самого ключа. (По крайней мере, не, если вся инфраструктура Yubikey была скомпрометирована, которая, как лучше кто-нибудь знает, это не имеет.)

<декламация безопасности> 

ОДНАКО .... Вы не должны * никогда * нажмите на ссылку в любом сообщении, отправленном любой бизнес, чтобы получить доступ к своему веб-сайту. Если вы не технически достаточно сложными, чтобы проверить источник сообщения электронной почты (большинство людей, которые не управляют их собственными почтовыми серверами не являются), вы не всегда будете иметь возможности сказать фишинг от реальной вещи. Вместо этого, перейдите на их домашней странице с URL вы сохранили в закладки, или введите веб-сайт URL в адресную строку вашего браузера. 

Вы также не должны обсуждать вашу финансовую информацию с кем-то, кто звонит вам по телефону, даже если этот человек утверждает, что из банка, финансового учреждения, или бизнес вы используете, если вы не знаете, вызывающему лично и может распознавать голос по телефону. Вместо этого, получить свое имя, повесить трубку, позвонить 411 или посмотреть основной номер телефона в этот банк, назвать его, и попросить их. Когда вы их называете, вы знаете, что вы говорите с кем-то в бизнесе, а не какой-то мошенника, укравшего базу данных и получил свою личную информацию. : /