Например, как у Apple. Код авторизации приходит на устройство, подключенное к аккаунту. Если не можешь разлочить устройство - не получишь код. Кстати, по этому пути сейчас пошли многие банки. Например, у Райфа появился RB Key. Это приложение для iOS/Android, которое используется для авторизации. Все действия, которые раньше делались SMS-ками, теперь делаются через него. Чтобы подтвердить транзакцию, надо разлочить телефон, плюс авторизоваться в самом приложении (через пин или Touch/Face ID). Вход в аккаунт, подпись транзакций, активация карт и так далее. Правда его само надо сначала SMS-кой активировать. Но это уже проще - для этого можно иметь симку, которая не покидает пределы дома/квартиры. Кстати, даже SecureCode для Visa сейчас авторизуется этим приложением. А вот MasterCard почему-то пока нет.
А вот если у человека один пин на все (пасскод на телефон, iPin для банка и так далее) - у него можно все что угодно украсть.