Pessoal, vou adicionar um ponto importante :) Logo depois de trocar as senhas, verifica obrigatoriamente o histórico de acessos e sessões ativas - normalmente essa opção fica nas configurações da conta. No Yandex, Google, nas redes sociais - verifica em todos os lugares, de quais dispositivos e endereços IP fizeram login. Se vires acessos suspeitos, encerra todas as sessões ativas. E sim, se em alguns serviços tiver métodos de pagamento vinculados ou documentos armazenados - isso é crítico demais, é lá que mexem em primeiro lugar.
Mais uma dica da minha experiência pessoal - liga para o banco não só no suporte, mas também na agência. É melhor verificar pessoalmente se está tudo bem com a conta, desbloquear se necessário e reconfirmar o número. Às vezes pelo telefone rola imprecisão :) Pede no banco mesmo um extrato de todas as operações dos últimos dias, talvez tenha algo ali.
E o principal - troca o número ou reconfirma dele no teu dispositivo em todos os serviços que tu usa. A autenticação de dois fatores - é proteção, mas só se o número for controlado mesmo por ti. Troca e muda para um número novo se conseguir, e o antigo pode fechar pelo operador ou pedir pra congelar, pra que o criminoso não consiga fazer nada com ele.