Похоже на совместные счета. Насколько я помню - там достаточно знать телефон того для кого выпуск. Никаких других проверок не надо. Да, проверено на практике, тот для кого выпуск может даже не быть клиентом Тинькова (есть кстати интересный баг который поддержка считает фичей - если потом выпустивший все же станет полноценным клиентом и выпустит полноценную карту то никаких бонусов ни ему ни тому кто изначально вся инициировал - не будет, даже если в данный момент регистрация по рефссылке бонусы дает).

Утечкой данных это тоже сложно назвать - Фамилию И. по номеру телефона узнать тоже не так уж и сложно - достаточно попробовать сделать перевод по СБП.