Просто смешали все в кучу. В Прива24 не восстановишь/не сменишь пароль не имея фактически саму карту в руках. Кто хоть раз проходил квест восстановления тот знает сколько там всего вбивать надо данных. Если карта Мастеркарт то еще и CCV код нужен. Значит номер карты ничего не даст, хоть и имеет на руках номер телефона.
В основном снимают при помощи услуги Экстренные деньги. Там приходите к банкомату, вводите номер карты, (не знаю как на счет ПИН-кода карты), приходит СМС на номер, деньги снимаются без карты.
Если Вы даете номер виртуального счета то услуга Экстренные деньги не работает на нем. Можно работать только через Прива24, и совершать какие либо переводы.
Та ситуация, что получилась у знакомого
Слона стала возможна только потому, что до того человек не был зарегистрирован с Приват24.
Хотя и это сейчас стало проблематичнее. Сейчас уже требует, если это только первая карта в Приват24, топать к банкомату с картой и втыкая карту в банкомат подтверждать номер телефона, и то что карта физически и телефон находятся у одного человека в руках. Или через работника Привата, но все равно с картой в руках.
Единственное слабое место это Экстренные деньги по номеру карты и смс подтверждением. Хотя если ПИН карты требует (не пользовалась, не знаю) то тоже немного обезопасили. Этот момент надо уточнять.