МТС-Банк с головой поссорился⁠⁠2

Предполагать за этих идиотов не хочу, но в подстановке скриптом в темплейт пароля перед отправкой нет ничего удивительного на самом деле. При восстановлении пароля вам приходит письмо с новым, он туда точно так же подставляется.

Да и вообще, вся рассылка маркетинговая, которую вы получаете, точно так же имеет шаблон, куда подставляется ваше имя и другие данные, которые нужны в этом письме. Точно так же можно сгенерить пароль, положить его в письмо, положить его хэш в базу и отправить. Не вижу в этом чего бы то ни было критичного.

Далеко не факт на самом деле. Возможно, но не факт.
Там могло произойти всё, что угодно. Начиная с сообщения безов «пользователи жалуются на взломы, дропните им всем к хуям их и разошлите новые», заканчивая продвинутыми системами юзерменеджмента, которые вместе с хэшом пароля хранят и класс безопасности пароля для тех или иных целей, то есть они знают, что пароль хуёвый, но не знают какой именно. А при ужесточении политик безопасности паролей просто сгенерили и разослали всем новые.

А могли и  в открытом виде хранить, всё возможно. Но вообще, банковское ПО сертифицируется государственными органами — такой откровенной хуйни вроде открытого хранения паролей там сложно найти, думаю.

Когда-то писал бэк для одного немецкого банка, там разослать пароль по смс - вообще норм практика. Не раз замечал что у нас считается дикостью и прошлым веком - в Европе норма. В плане ИТ у нас всё гораздо быстрее внедряется.

А по сабжу, они могли отсылать, а потом хэшировать его. Другое дело, что хранят они его в md5(pass + salt), хотя мд5 давно уже перебирается радужными таблицами

Корпоративная аутентификация через Active Directory / LDAP; корпоративный GMail; чуть менее, чем все системы, реализованные с помощью AWS Cognito...

Всегда так делаю, когда какой-нибудь форум со статьёй о разведении устриц в условиях невесомости требует от меня для просмотра полного текста восемнадцатизначный  пароль потому, что какой-нибудь okn123 ему недостаточно сильный. Сидишь и думаешь "Блядь, у меня у банковской карты пин 4 цифры".

Чем одноразовый пароль текстом отличается от одноразового пароля, зашитого в ссылку?

Собственный идиотизм )