Типичный обратный 2FA.
Но вероятное слабо звено здесь не столько сохранность (от слива или дублирования проги), которая дает сотруднику код для ответа, сколько сам сотрудник, который по сговору продиктует этот код своему подельнику, и вот он уже сам и не при делах, это всё мошенник случайно угадал.