Wo ist die Sicherheitslücke beim iTAN?

Wie soll ein Angreifer die TAN abfischen, die ich auf meinem Papierzettel stehen habe und ich natürlich nicht auf die Idee komme, den Zettel vor die Webcam zu halten oder auf den Scanner zu legen? (Wer auf einer Webseite die angeblich von der eigenen Bank ist, alle 100 TANs fleißig der Reihe nach eingibt ist halt selbst schuld.)

Einzige Möglichkeit die ich mir vorstellen könnte, wäre ein Zwischenschalten zwischen Computer des Anwenders und Server der Bank. Hierfür muss der Hacker dann die Verschlüsselung knacken. Aber es dürfte doch ziemlich egal sein woher der Anwender die eingegebene TAN hat ob nun vom Zettel oder einem Zusatzgerät, Hauptsache der Hacker schaltet sich sich dazwischen und ändert den Empfänger und Betrag.

Für sicherer würde ich eine Kombination mit dem Handy halten: Wenn man nach beauftragter Überweisung eine SMS der Bank mit individueller Kennung der getätigten Überweisung bekommt, schickt man eine SMS mit einer anderen dazugehörigen TAN an die Bank zurück, nach dem Motto: "Ja, ich will wirklich."

Steht in der Nachfrage SMS dann der Empfänger, der es wirklich sein soll, kann der Hacker, selbst wenn er das Handy anzapft nur noch zustimmen oder ablehnen. Er könnte aber nicht mehr den Empfänger ändern weil es beim Handy nur Ja oder Nein zur Auswahl gibt. Ändert er den Empfänger am Computer, steht in der "Wollen Sie wirklich"-SMS der Bank dann der Fremde Empfänger und der Bankkunde merkt, dass sein Auftrag gerade manipuliert werden soll und schickt keine Bestätigungs-Antwort-SMS an die Bank.