Спасибо всем ответившим, ссылки пока изучаю. Очень волнует практический вопрос: стоит ли все-таки платить по кредиту и не приведет ли это к снижению шансов в суде...
По пунктам:
1) Антивирус на смартфоне есть, платная версия Касперского, обновляется регулярно. Насколько качественно он работает, увы, сказать не могу, не специалист.
2) Карты были привязаны только к моему телефону. До приобретения этого телефона (летом 2021) карты были привязаны к другому моему телефону, который также лежит дома (сломан). Телефон не давал никому даже на время, даже на один раз позвонить.
Но, судя по ответу банка, кто-то все-таки умудрился привязать их к левому телефону. При этом никаких уведомлений типа "в ваш аккаунт попытались войти с другого устройства" я не получал. Хотя, например, на том же Сбере, я не могу войти в Интернет-банк с компа, пока не сделаю подтверждения на телефоне...