Olleg, а вСМС-ках есть ? 

Beach Bunny, в  MAX, даже нет сквозного шифрования (E2EE), что позволяет третьим лицам получать доступ к переписке и файлам.
как решето

В прошлом году менял симку, Т банк заметил только когда я решил деньги снять, через несколько месяцев, никакие кодовые фразы не помогли, пришлось опять вызывать курьера, правда я отказался от видеосвязи для подтверждения, возможно это бы помогло быстрее. Другие банки ноль эмоций.

Еще может быть заметят, это не мгновенно. Даже опсос, например, на включение спящей смс реагирует блокировкой не сразу, вначале спокойно можно звонить, смс-ки получать/отправлять, потом блокируют 

Причем тут телефон и приложение, если достаточно смс на номер владельца и денежки тю-тю

А в чем неутешительный итог. По-моему, наоборот, все ок. Или вы хотите, чтобы при смене симки (не номера) вам еще и счета блокировали?

Ваш эксперимент мне кажется ничего не подтвердил: устройство меняли? приложение переставляли? Если на оба вопроса ответ «нет», то приложение и банк просто посчитали эту конфигурацию старой, не изменившейся. В реальном сценарии злоумышленника, перевыпустившего вашу сим-карту, будет и новое устройство, и новая установка приложения.

Скоро подтверждения будут в МАХ и защита станет еще надежнее ! 

с точки зрения взаимодействие по сети или получения смс — банки (да и все остальные) не могут знать что изменилась симка. 
Отследить можно скорее в самом банковском приложении. Задетектит ли оно чисто локально, или каждый раз передаёт ICCID и IMSI на сервер — зависит от приложения. 
Если передаёт — это позволит с одной стороны перенести карту в другой телефон (но наверное всё равно будут вопросы к новому телефону) ну и просто новую карту задетектить. В том числе и при сносе приложения, смене карты, установке приложения обратно. А если не передаёт (и заодно IMEI телефона и подобную инфу не передаёт) то можно новую симку в другую мобилу воткнуть. 

Года 3 назад менял симку. Сбер замечал. Сейчас незнаю.