Dentro de mi ignorancia, para que cualquier virus , malware o cualquier otro historia te haga una chinfarrada, requiere de la acción del propio usuario. Otro tema es que se sea consciente o no de haber realizado dicha acción.
Lamentablemente ésto nos puede pasar a cualquiera. Está claro que usar la banca electrónica tiene sus riesgos (no solo desde un smartphone, si no también desde un ordenador); y las compras online y etc, etc, etc.
Lamento lo que le ha pasado al compañero y espero que haya sido de forma involuntaria, teniendo así algo más de defensa legal para poder recuperar su dinero.