Там, где двухфакторная авторизация по СМС - действительно крадут. Перевыпускают симку в офисе оператора по доверенности или поддельному паспорту. Полуркайте форумы ("перевыпуск симки мобильный банк"), эта проблема в последние года два очень широко распространилась. Последней каплей стал недавний случай, когда у более-менее известного клиента за месяц четырежды таким образом перевыпускали сим-карту. Только тогда началась шумиха в СМИ и Билайн, ВНЕЗАПНО, обнаружил, что таки да - проблема есть и запретил перевыпускать симки по доверенности.

Но это не спасает в сценариях "у мошенников знакомый человек, работающий в салоне оператора, который за мзду или по старой дружбе таки нарушит регламент". Так что я от Сбера отвязал номер телефона и пользуюсь одноразовыми паролями, распечатываемыми в банкоматах. Потому что у меня там, лежит несколько сотен тысяч и потом год судиться с банком на предмет возвращения денег мне не хочется. Банк в таких случаях сваливает вину на сотового оператора ("это они выдают там ваши симки кому попало"), а оператор - на банк ("это банк у вас фуфло и не проверяет IMSI, который у каждой симки разный").