Я думаю, что все было так:

1. Мошенники оформили заявку на ваши паспортные данные + номер телефона. Эти данные можно купить в даркнете комплектом.
2. Мошенники указали номер телефона, вам сразу же пришло СМС, Тинькофф привязал ваш номер к заявке, но номер не подтвердили. Потому что номер подтверждать необязательно. 
3. Тинькофф отправил СМС со ссылкой на статус заявки на номер из этой анкеты, но номер не был подтвержден. Вы позвонили в банк и попросили отменить заявку.
4. Через 20 минут вам снова пришла СМС – видимо, мошенники пытались оформить заявку еще один раз. Но в этот раз Тинькофф запросил мошенников подтвердить личность сразу (потому что первая заявка была отменена, банк мог посчитать вторую заявку спамной) и отправил вам СМС как на контакт, единственный привязанный к анкете.