Код это подпись под операцией. Если его продиктовали, считайте, что операцию подтвердили вы сами. Дальше всё решает скорость.
Звоните в банк по номеру с обратной стороны карты и просите заблокировать операцию и карту. Не перезванивайте тому, кто вам звонил, и не ждите, «чем закончится».
Номер брать с карты или из официального приложения, а не из звонка и не из сообщения. Просить блокировку карты и остановку операции.
В одной истории на переключения между операторами ушло десять-пятнадцать минут, за это время перевод прошёл, и вернуть его не удалось. Говорите сразу и коротко: перевод мошеннический, нужна блокировка.
Если код был не от банка, а от сервиса, почты, госуслуг, маркетплейса, меняйте пароль там и завершайте все сеансы.
Лично или через сайт МВД. Заявление могут потерять, в одной истории пришлось писать жалобу в прокуратуру, чтобы дело возбудили. Сохраняйте талон-уведомление о приёме заявления.
Скриншоты сообщений, номер звонившего, время, выписку по счёту. Без этого потом нечем подтверждать.
Один читатель описал случай: мошенник, чтобы убедить, отправил смс с кодом, и оно легло в ту же ветку, где лежат настоящие сообщения банка. Отправитель выглядел как банк.
Поэтому «сообщение пришло от банка» ничего не доказывает. Доказательством может быть только ваш собственный звонок на номер с карты.