Паролем в Шпакассе является фамилия вкладчика,

Это логин, имя пользователя.

А ПЯТИЗНАЧНЫЙ ПИН, я должен был сам придумать.

А это пароль.

Узнать фамилию вкладчика можно через почту.

Логин можно менять. Я в шпаркассе. И разумеется у меня как логин не фамилия.

А вот как мошенники добираются до ПИНа мне непонятно.

Пин набивается на клавиатуре. Фишинг, клавиатурные шпионы, скрытые камеры. Зараженный комп.Я, лично, использую для банкинга отдельный комп с линуксом. Раньше - только LiveCD

Но все это не критично. На конту можно зайти. Посмтреть. И что дальше? На любое другое действие нужет ТАН. ТАН дается на определенную транзакцию. Это значит, что вы решили перевести 1 евро. Получили ТАН. И пока вводили, кто то шустро набил новый перевод с вашей конты и пробует перевести 1000 евро, используя ваш ТАН. Не прокатит. Тот ТАН был дан на перевод одного евро и для других операций не катит.

Единственная проблема - второй заказанный мошенниками телефон, на который будут присылаться ТАНы.