Es gibt Techniken, die solche Angriffe per 1-klick zulassen. Diese attackieren aber Sicherheitslöcher in Browsern, die in fast allen Fällen binnen Stunden oder maximal wenigen Tagen von den Browser-Herstellern gefixt wurden und vermutlich auch zukünftig werden. Dabei werden Daten aus einem Browser-Tab oder Cookie von einem anderen Tab genutzt, was eigentlich nicht erlaubt ist und technisch verhindert werden sollten. Diese Attacken funktionieren dann nach diesen Fixes nur noch auf Browsern, die nicht geupdated wurden, also wieder User-Problem, wenn man wichtige Accounts mit veralteten Browsern benutzt. Sollte man seinen Browser automatisch aktualisieren lassen, wie es die Standard-Einstellungen eigentlich vornehmen sollten, ist man extrem schwer mit solchen Attacken angreifbar.
Die meisten Angriffe sind jedoch nachgemachte Login-Seiten, die aussehen wie das Google-Login (meistens), aber oben in der Browser-Zeile ist klar zu sehen, dass man nicht auf einem Google.com Server connected ist, sondern irgendeine ellenlange merkwürdige Cloud-URL. Eine sehr erfolgreiche Attacke aus der Crypto-Ecke war sogar so dreist, dass sie einfach ein Google-Forms Formular angezeigt haben, das nicht mal ansatzweise wie der original Google-Login aussah. Und trotzdem haben eine nicht geringe Menge User ihre Login-Daten in dieses Formular eingetragen. Und natürlich haben danach viele auch noch ihre 2FA Codes ebenfalls dort eingetragen. Autsch. Und wenn man einfach immer die Logins von Google/YouTube nicht per Links ansteuert, sondern aus den Favoriten heraus, ist man nochmal eine ganze Nummer sicherer. Außer man speichert gefakte Seiten in die Favoriten.
Bei Änderungen an wichtigen Account-Settings wird meines Wissens nach auch bei Google/YouTube eine erneute Verifizierung abgefragt.