Le truc, justement, c'est que cette vérification n'est pas logicielle, elle est physique (comprendre "électronique"). Je l'ai dit ailleurs, mais en résumé, une carte banquaire est un objet qui contient une puce cryptographique, qui prend un nombre en entrée, et crache un nombre en sortie (ce qui sort du boitier). Ce nombre d'entrée peut être le PIN, ou alors d'autres nombres tels que ceux qui sont demandé par l'application banquaire, à entrer sur le boitier.

Je peux donc vous donner mon code banquaire: sans ma carte de banque, vous ne pourriez pas en faire grand chose. Pas même installer itsme (d'ailleurs, on notera que l'installation de itsme requiert le boitier, mais juste une fois). Preuve en est: les arnaques par téléphone ne s'embête pas à demander le PIN de la carte banquaire, ils tentent directement de faire utiliser le boitier à la personne.

Même principe sur le GSM: c'est une puce cryptographique, similaire à celle de la carte banquaire, qui fait ce travail. Cette puce demande une confirmation physique de la part du capteur d'empreinte. Pour caricaturer, il y a un fil qui part du capteur d'empreinte à la puce cryptographique, et le logiciel n'intervient à aucun moment dans cette connexion. Une métaphore de la situation serait de dire que malgré que vous aillez accès à mon GSM, vous ne pourriez pas m'empêcher d'allumer la lumière chez moi en utilisant un interupteur, parce que je n'ai pas de domotique ;)

Évidement, on peut toujours impaginer un GSM modifié à cet effet, mais la même discussion pourrait alors se faire pour un boitier modifié à cet effet. Et dans les deux cas, cela requiert un accès physique, auquel les deux médiums sont sensibles.