Разглашение ПД

Ситуация вот в чём - какой-то посторонний человек, возможно просто случайно, прикрепил мой номер телефона к своей карте. Мне, соответственно, стали приходить все его операции, замены пинкода и т.д. Я позвонил в банк. После многих переходов по меню, мне удалось-таки связаться с оператором. Оператор не смог помочь, поэтому идентифицировал меня через отсылку сообщения на мой номер телефона (sic!) и переключил ещё на кого-то. После минут 10-15 прослушивания музыки, оператор мне ответил и сказал, что нужно подтверждение того, что номер (с которого я звоню!) принадлежит мне. Поэтому я отправил электронное письмо на zabota@otpbank.ru, в которое вложил, как меня и просили, скриншот личного кабинета мобильного оператора. 28 июня, в ответном письме, мне ответили, что номер удалён из базы и звонки прекратятся в течение 2-3 дней. Сегодня 9 июля. Отчёты о покупках Габила Ахмед Оглы продолжают приходить. Помимо этого, теоретически, я могу пополнить телефон или совершить перевод с его карты посредством СМС команд. Возник вопрос - каким вообще образом человек смог привязать мой номер к своей карте? Насколько я знаю, при прикреплении номера на телефон должен прийти код. И вот 6 июня в 14.55 он-таки пришел. Видимо тому человеку он так и не дошел (что ожидаемо), и оператор попробовал ещё раз. Потому что в 14.59 мне пришел ещё один код. И отсюда вопрос - на каком основании оператор прикрепил номер, если человек так и не смог назвать подтверждающий код?