Код - это дополнительный фактор. Если кто-то перевыпустил вашу сим-карту и знает номер банковской карты сейчас ему ничего не мешает попасть в личный кабинет.
Это как раз повышение уровня безопасности, по сравнению с убогой авторизацией в приложении по СМС, имея только номер карты.
К коду, который приходит через СМС при входе на новом устройстве. Очень весело читать комментарии людей, не имеющие отношения к информационной безопасности, которые считают, что СМС - это надёжный второй фактор. Я уже не говорю о том, что СМС можно перехватить, в некоторых случаях.