Het klopt ook niet dat je alleen een kleur en symbool moet onthouden. Je moet ook nog de wachtwoordlengte onthouden. Dus 3 dingen per site.
En als je de kaart verliest is het simpel te bruteforcen met minder dan 2000 pogingen. Er zijn "maar" 8x29x8 mogelijkheden die je hoef te proberen, als je alleen wachtwoordlengtes van 8 tot 16 tekens probeert. Meer dan 16 zal een gebruiker van zo'n kaart niet gebruiken en minder dan 8 is zelden toegestaan.
8x29x8 = 8 kleuren x 29 startpunten x 8 wachtwoordlengtes = 1856 mogelijkheden
Elke kaart is wel uniek gegenereerd, dus zonder kaart is het wachtwoord wel sterk.