Je partageais totalement vos préoccupations, c'est pourquoi mon iPhone transfère tous les messages - y compris ceux de mes comptes bancaires - bien que le Bluetooth soit désactivé sur le Mac et l'iPhone (ainsi que le wifi sur l'iPhone, donc je suppose que le transfert fonctionne via les données cellulaires). Selon une personne sympathique et serviable de la hotline Apple, il n'existe pas d'option permettant de filtrer les messages qui seront transférés et ceux qui ne le seront pas.
Mais après avoir réfléchi à la question pendant un certain temps, je ne la considère plus comme un problème aussi important. L'authentification à deux facteurs est basée sur le principe de la connaissance d'une information (comme votre mot de passe) et de la possession d'un objet (par exemple votre téléphone) pour recevoir une deuxième information qui, combinée à la première, servira de clé. La situation avec le transfert de message diffère juste dans la mesure où la "chose" que vous possédez dans ce cas sont deux choses (le téléphone et le mac). Il n'y a donc pas de violation, selon moi, puisque le type qui pourrait éventuellement voler votre Mac doit encore connaître votre mot de passe.
Il n'est pas normal que le numéro de transaction soit affiché sur l'appareil qui exécute la session et qui a donc demandé le numéro ;-)