Mungkin yang dimaksud diatas adalah sejenis SMS Masking; Salah satu provider telepon seluler di Indonesia setahu saya menyediakan jasa seperti ini seperti contoh
https://myads.telkomsel.com/. Sebenarnya itu dimaksudkan untuk media iklan yang lebih personal ke pelanggan atau siapapun user yang bahkan ketika mereka tidak memiliki nomor kontak kita pun tetap bisa mengetahui pengirimnya melalui Nama khusus yang disetting menggantikan nomor telepon tersebut.
Wah gilak, ane baru tahu provider besar sekelas telkomsel malah kecolongan, padahal jelas sama-sama BUMN, tapi mereka malah meloloskan scammer untuk memakai logo kode Bank Mandiri yang secara default awam pun tahu kalau ada nomor begitu pasti akan dipakai buat yang tidak-tidak. Lalu, apa bisa kita ini mereportkan ini ke telkomsel?, maksud ane ini kan kayak semacam hal penting, ada reward kalau ada yang melaporkan karena menyangkut hajat rakyat seluruh Indonesia.
Kalau cuma sebatas laporan saja, orang malas, kecuali kalau kita lapor dibayar pasti akan banyak laporan.
Asumsi saya, sms dengan atas nama Bank Mandiri sebagaimana pada screenshot di OP yang mengirimkan kode OTP ke nomor agan itu merupakan sms resmi dari bank tersebut.
Si Scammer yang sudah mengetahui detail kartu kredit Mandiri agan menggunakannya untuk transaksi di Bukalapak, nah ketika transaksi dan membutuhkan kode OTP tersebutlah maka notifikasi asli masuk ke nomor agan, maka dari itu dia menghubungi agan agar menyebutkan kode OTP nya.
Kalau sms berisi OTP itu
fake kemungkinan besar kodenya tidak akan
match dengan transaksi yang dilakukan si Scammer di Bukalapak.
Sementara itu, ketika si Scammer menghubungi agan (via telp atau sms) dan ternyata nomornya dirubah menjadi nama seolah resmi mengatasnamakan Bank Mandiri, kemungkinan dia menggunakan sejenis SMS masking seperti yang saya sebutkan sebelumnya.
Sebenarnya di TOS telkomsel juga sudah disebutkan beberapa ketentuan semisal:

bahkan untuk iklan aset kripto sekalipun ada ketentuannya:

Jika memang yakin ada penyalahgunaan dari penggunaan layanan tersebut, coba saja konfirmasikan ke nomor kontak yang tertera di
https://myads.telkomsel.com/. Perihal apakah akan dapat reward atas pelaporan tersebut, saya tidak tahu.