¿Por qué mi proveedor restableció mi contraseña después de que alguien más intentó acceder a mi cuenta?

Esto es una violación absoluta de la seguridad. Incluso si su política era de alguna manera sólida, enviarte la contraseña en texto simple en un correo electrónico significa que el restablecimiento es inútil, y como dijiste, si el atacante tuviera acceso a tu correo electrónico, las preguntas de seguridad no lo harían. t hacer sentadilla.

No deberían haber hecho nada ya que la pregunta de seguridad respondida no era válida. Lo mejor que puedes hacer, IMHO, es ir un paso más allá y bloquear al usuario para que no responda preguntas durante un período definido. Notificarle es un paso adecuado, pero cambiar la contraseña simplemente lo hace inútil.

Les haré una pregunta simple: "si me enviarán (o alguien que pretenda tener acceso a mi correo electrónico) una contraseña si yo / alguien más adivina la pregunta de seguridad, ¿cuál es el punto? de preguntas de seguridad? "

No, no es una respuesta adecuada del ISP. El atacante intentó restablecer la contraseña, lo que muestra que el atacante no sabe la contraseña actual, y en realidad ni siquiera intenta adivinarla. Forzar un restablecimiento de esa contraseña no puede ser bueno: intenta arreglar exactamente la parte del sistema de autenticación que no se rompió.

Si restablecer la contraseña no servirá de nada, puede causar mucho daño, sin embargo. Las contraseñas como texto simple en los correos electrónicos rara vez son una buena idea.

Esta situación parece un buen ejemplo de una "postura de seguridad imperturbable": en caso de duda, pánico.

^{(¿Tu ISP realmente eligió una contraseña que comienza con "Rory"? Esto desencadena mi sentido de "tonto").}

El único caso que se me ocurre es que cambiar la contraseña de tal manera que tenga sentido de seguridad es que el usuario haya iniciado sesión en su cuenta cuando intentó cambiar su contraseña.

En ese caso, su contraseña anterior fue potencialmente comprometida, ya que quien haya iniciado sesión conocía esa contraseña pero no la respuesta a su pregunta de seguridad.

Esto no es una buena práctica. Sería un poco sospechoso de que el proveedor de SIP de hecho se haya visto comprometido, pero quería salvaguardar o reducir el potencial para una publicidad cuidadosa, posiblemente por ser menos claro / honesto o un poco ambiguo. Básicamente, cambiar su contraseña después de un intento fallido no tiene ningún sentido. Enviarle una nueva contraseña por correo electrónico hace aún menos. Todo esto se sumaría a la búsqueda de un nuevo rpvider SIP si fuera yo.