То есть если проще – обязан быть сервис принятия смс (да хоть платный, как угодно) которому юзер дает разрешение и уведомляется о рисках
Но никакой компании это не нужно. Все будут подтверждать любые правила и соглашения, а потом гнать бочку на компанию, что у них перехватили сообщение или взломали аккаунт.