Látom én is a kódot, innen a kétely.
A mi esetünkben ugyanis nem volt applikáció regisztrálva, és a családtagom csak egyszer írta be az sms kódot.
Vagyis valahogyan tudott utalni az "ukránunk" egyetlen egy sms-autentikáló segítségével. Ezt a részt nem értem.
Szerintem nem is sikerült az app-ot regisztrálnia a támadónak. Ugyanis az áldozat kapott egy sms-t hogy erősítse meg az app telepítését, de ezt az sms-t nem írta be sehova.