Mi sembra pazzesco che una banca invii le credenziali di accesso e dispositive via mail, Ing Direct, ad esempio, le manda via posta ordinaria.
Sia Ing DIRECT, che poste, autenticano il dispositivo che genererà gli OTP, non il numero di telefono.
Ci sono leggerezze da parte della banca, della Tre è anche da parte della vittima, dei dati così sensibili vanno stampati, non lasciati su un server di mail.
E, ripeto, la leggerezza più grande, secondo me, è quella di non rivolgersi ad un legale, che sappia come muoversi e, soprattutto, celermente.