В симках Java-машина есть. Я как раз по работе этим занимаюсь. Симка это вообще secure element - она много секьюрнее самого телефона.

Но вообще двухфакторная аутентификация на зарплатном счету - это типичный security theater.
Все эти танцы вокруг суммы денег сравнимой с балансом на счету оператора заколебали уже.