Нашел вчера критичную багу в гитхабе - можно смотреть и скачивать приватные репозитории в обход 2fa:

curl --user login:password https://api.github.com/user/repos

git clone https://login:[email protected]/test_user/private_repo.git

Её правда обещают пофиксить 13 ноября:

https://developer.github.com/v3/auth/

Password authentication to the API will be removed on November 13, 2020