Смс-подтверждения, как известно, уже давно утратили свою надежность. По итогу мошенники спокойно пользуются данными лазейками.
Почему не могут ? По-моему, сейчас нет банка без двухфакторной авторизации. Я точно знаю банк , где используется Google Authenticator для генерации ключей.
Да, смс-пароли , наверное, наиболее популярны. Хотя точной статистики у меня нет.
Скорее всего, этот вид авторизации самый дешевый и доступный для клиента и банка. И достаточно надежный. Несмотря на уязвимость в протоколе.
Для юридических лиц в моем банке использовали токены. Но это стоит денег.
Для физиков выбирают варианты подешевле.