Полностью обезопасить мобильный клиент вы не сможете (если он под андроид).
Вон, у сбербанка сдк касперского встроен был защитный и это не помогло :)
Если захотят достать - достанут что угодно (сейчас есть пакеты которые рутуют телефон и от этого уже будет никак не защититься), механизмы защиты отреверзят и дешфируют ключи. Смс проверка тоже обойдется.
Также возможен фишинг поверх приложения банка при запуске его пользователем (детект по имени пакета).
Возможен фишинг через accessibility service.
Или вас интересует что-то совсем конкретное?