Как Вы уже могли предположить, дело в незаконно оформленном кредите. В нашем случае на 1 500 000 р. История во многом стандарта, но просто посмотрите сами с чем мы столкнулись.
Думаю возможность запрета подтверждения операций по смс решил бы вопрос для всех банков. Пин код /*pay - оставить. Остальное через отделение. Такая простая настройка по умолчанию - и нет мошенников. Но это не выгодно банкам :(