На сколько я в курсе дел - можно (и НУЖНО - в случае хотя бы ПОДОЗРЕНИЙ на подобные инциденты) настроить двухуровневую авторизацию для трансферта средств на счету.
Либо ДВА пароля - один для управления кошельком, второй - для операций с деньгами.
Либо с кодом подтверждения через SMS.
А ваш коллега видимо упростил жизнь и себе (ну лень ему пароли помнить) и взломавшим - снизил уровень защиты в минимум. Ну вот как-то так...

И совершенно справедливо сказали - ЛЮБАЯ! система, имеющая функции удалённого управления - дырявая! Просто у самых "надёжных" дырки ещё не нашли или УЖЕ найденные - заделали.

А с выводом - тоже соглашусь

"Граждане, храните деньги в банке! Если они у вас конечно есть"
(с) Иван Васильевич меняет профессию