Und ich erhalte keine SMS, sondern es läuft über eine "SIM-Anwendung" (keine App aus dem App Store).

Ich mag es ja verstehen und wenn es da ein (offensichtliches) Einfallstor gibt, dann umso besser es zu kennen.

1. Ich gebe "nur" meine Telefonnummer auf Seite X (zB aufgerufen am Mac) an um zu meinem persönlichen Bereich zu kommen. Kein Name, keine Mailadresse o. Ä.
2. Ich bekomme über eine SIM-Anwendung (keine SMS, keine App aus dem App Store) den Hinweis, dass sich jemand auf Seite X mit meiner Telefonnummer angemeldet hat. Sofern ich es war, dann Schritt 3. Sofern ich es nicht war: Ignorieren.
3. Ich bestätige den Zugriff und ...
4. ... gebe meine 8-stellige Ziffernkombination an (keine SMS, nicht in einer gewöhnlichen App, sondern einer SIM-Anwendung), um die Zugriff auf meinen persönlichen Bereich zu erlauben. Am Mac wird der persönliche Bereich automatisch geöffnet (ohne zusätzliche Angabe eines Bestätigungscodes o.Ä).

Natürlich ist es wichtig, die URL der Seite immer zu prüfen vor der Eingabe (jeglicher) Daten, egal ob Nutzername, Passwort oder Telefonnummer. Sollte ich mich in der Tat auf einer Fake-Seite eingeloggt haben, dann kennt der Inhaber der Fake-Seite "nur" meine Telefonnummer. Ich bezweifle, dass die Kenntnis einer Telefonnummer ausreicht um eine Kopie der SIM-Karte zu erwerben, selbst wenn noch mein Name bekannt wäre.

Ich weiss nicht, wie die SIM-Anwendung geschützt ist bzw was diese technisch gesehen genau ist. Aber ich vermute, dass hier viele weitere Daten geprüft werden, wie SEID, EID, SIM-Kartennummer, (persönliche?) Zertifikate usw. Sollte es hier zu Unstimmigkeiten kommen, zB durch neues Telefon oder Anbieterwechsel (bei Rufnummermitnahme), dann wird die Abfrage automatisch ignoriert/abgelehnt.

Die SIM-Anwendung ist abrufbar über Einstellungen > Mobilfunk -> SIM-Anwendungen -> Auðkenni

Auf jeden Fall werde ich die kommenden Tage mal bei meinem Provider nachfragen, welche Sicherheitsvorkehrungen vorgenommen werden um zB das Erstellen einer MultiSIM mit gleicher Nummer zu vermeiden.