Pues parece que en ese aspecto los bancos donde vives funcionan mejor xD

Yo he tenido cuentas en 3 bancos diferentes y en ninguno se me ha pedido cambiar el pin o la contraseña de acceso online, en la vida, salvo cuando te renuevan la tarjeta por caducidad o cuando te toca cambiarlo por introducirlo mal. Y ya no solo en bancos, empresas que manejan datos tuyos como el DNI o cuentas bancarias tampoco... de hecho ni siquiera el sistema de Cl@ve permanente del gobierno (con el que accedes a y haces trámites como en temas de salud o hacienda) me ha pedido cambiarla xD

Saludos

Para menesteres de verificaciones adicionales, deberian usarse otros valores, preferiblemente de un solo uso.
Solicitar dígitos de tu pin, para esas verificaciones posteriores solo posibilita que haya quien idee un sistema MITM, para ir capturando tales valores... Con un valor de un solo uso, ese interés (para las tarjetas de crédito), pierde 'fuelle', porque no gana acceso al control de la tarjeta (como sí pudiera ser para otras cosas), en todo caso (a lo sumo), solo para esa transacción.

Yo abriría una hoja de reclamaciones en el banco, por falta de seguridad, y si no hacen caso, pasado el tiempo una denuncia ante la ley de protección de datos, porque ese dato no debe tener ningún otro uso que el diseñado para él, es decir su uso de verificación de la tarjeta cuando se use, y el en el momento justo de usarla y ninguno más.
Cualquier otro uso, me parece ilegítimo, incluso aunque se trate de tu banco y de posteriores verificaciones con una transacción para la cual ya fue validada con tu pin o con otros medios aceptados. que oprovean otro código completamente distinto de tu pin, para esos propósitos... aunque eso suponga tener que recordar 'otra contraseña más' (que es la única razón por la que creo que hayan adoptado esa mala decisión)...