証券口座への不正アクセスは防げない？

テスタ氏の保有する証券口座が不正アクセスされたとのこと。
フィッシング詐欺にはあっていないようです。
どういう経緯で不正アクセスされたかがとても気になります。

楽天の二段階認証は、メールに画像が送信されて、その画像をログイン画面で選択するものです。
しかし、メールを犯人が閲覧できれば二段階認証は意味がありません。

そもそも、楽天のIDとパスワードを犯人はどうやって知ったのでしょうか。

テスタ氏の不注意なのか楽天が不正アクセスされてパスワード等が流出したのか。

ランダムアクセスで犯人がパスワードを知り得るものでしょうか。

対策はどうすればいいか…皆さんはどうしておられますか。
パスワードを頻繁に変更するしかないのでしょうか。