Seguridad username password

Una ve que das un ID y una clave, depende sobre todo del usuario encargarse del buen uso de su cuenta.
Para controlar que no lo va "regalando" por ahí, yo pondría algunos controles transparentes al usuario, como guardar su dirección IP y fecha/hora de ingres en el sistema (cuidado con la IP y la LOPD). Luego, realizaría búsquedas para ver qué usuarios se ingresan, cuando y desde qué IP, teniendo en cuenta que la IP puede ser dinámica (aunque no cambie mucho, según el operador). Si un usuario se ha conectado desde varias IPs (muchas, teniendo en cuenta que la mayoría de los acceso suelen ser desde los mismos sitios -casa o curro-) o en momentos muy cercanos en el tiempo (¿desde 4 IPs en el mismo momento? Sospechoso), puedes tomar acciones correctoras (resetear cuenta y mandar la nueva a su dirección de e-mail, etc.), aunque todo esto deberá estar explicado en las condiciones de contratación del servicio...
Otros métodos más técnicos, creo que sería complicado implementarlos. Hay controles por tokens RSA por ejemplo (un llavero con una pantallita que muestra un número que cambia cada 'x' tiempo -minutos creo-, por decirlo así, según un algoritmo, y has de indicar el dígito actual, de esta forma solo la persona con el token puede saber el número).
Otra opción, quizás con certificados digitales, aunque también te lo podrían "usuarpar".
En fin.