Например, слепить фейк, где было бы админ-предложение снова указать номер телефона для подтверждения. Жертву это не должно обеспокоить, ибо в сущности, что он теряет? Он же не вводит пароль и логин.