Oui bon, on remplace un "ce que je sais" (le mot de passe) par "ce que je possède" (un téléphone).
Mais un téléphone, ça se fait voler. Beaucoup, d'ailleurs.
Est-ce que ça se fait moins voler qu'un mot de passe ?  Je suis dubitatif.
Avec ce système, Google réduit la sécurité au nom de la simplicité.
A la limite, pourquoi pas: On pourrait ainsi adapter la sécurité de la phase de connexion en fonction de l'environnement (peu risque: un simple code à deux chiffres. Plus risqué: un mot de passe. Très risqué: à deux facteurs.)