Amazon, PayPal, ещё какие-нить крупные фирмы запросто так могут.

Выяснилось, что много ещё где без СМС списывают. Из недавнего - билеты на S7 покупали, тоже смс не потребовали.
В вопрос не вникал, временно предположил, что если имеются паспортные данные, то могут без СМС обработать транзакцию.

«В обычных (не защищённых 3-D Secure) транзакциях ответственность за операции по украденным картам несёт «мерчант» — торгово-сервисное предприятие, на сайте которого была произведена покупка товара/услуги по ворованной карте, при условии, что он не поддерживает эту технологию.

В случае использования 3-D Secure происходит так называемый «Перенос ответственности» (Liability Shift), когда ответственность переносится на банк-эмитент, выпустивший карту, или на самого клиента. »

Как я это понимаю:
- Без смс держатель карты может оспорить любую транзакцию, но придётся ждать возврата денег 30 дней и дольше.
- С требованием смс мошенник либо не сможет провести транзакцию вообще, либо, если уж был введён код, то такую транзакцию оспорить не получится.

Что лучше зависит от личных предпочтений.

Эту проверку может запросить как магазин, который хочет, чтобы если что, ему не пришлось возвращать деньги, так и банк, чтоб потом у него не болела голова разбираться с этим магазином/другим банком-посредником.
Банк может например запросить эту проверку при первой покупке, а уже потом её не делать, если человек раз в месяц в этом магазе тот же кошачий корм покупает и адрес доставки всё время один и тот же.