Тинькоф не просит никаких подтверждений для привязки карт к гугл или самсунг пэю. Сам с этим столкнулся примерно год назад. ТП ничего вразумительного не смогла сказать по этому поводу. Пришлось отказаться от этого банка. Клиентку наверняка разули с помощью этого косяка, да приличная часть других мошенничеств, проходит по этой же схеме, я уверен. Нужно всего то знать номер карты, срок действия и cvc. Это автоматом дает полный доступ к карте.