> А кто в проприетарных ОС карты и смс ворует? АНБ, ЦРУ или
> ФБР?

Да вообще все.
Софт. Провайдеры мобильной связи. Работники провайдеров мобильной связи. Работники совершенно другого провайдера мобильной связи на другом краю мира. Работники банка. Разработчики ОС. Разработчики сим карт. Ну и спецслужбы.
Что-то из этого не афишируется, но публично известно. Что-то известно в узком кругу специалистов и шок для обычных пользователей. Что-то используется в условно легальной серой зоне, но не афишируется (вроде сбор предпочтений пользователей чтобы потом продать на рынке пользовательских идентификаторов, привет гугл, фейсбук, мелкософт и прочие). Что-то специально замалчивается (спасибо, Сноуден). И это все возможно благодаря проприетарным ОС и проприетарным сервисам.
В опенсурсе тоже периодически какую-нибудь уязвимость находят (а то и закладки), но это гораздо более редко, публично и их исправляют. А вот S7 никто никогда не исправит. В ближайшие N лет никто массово не предложит пользователям отказаться от 2FA по телефону в пользу ключей. Симок принадлежащих пользователю нет как класса. Многие банковские услуги навязывают определенные технологии и условия (банальное передача данных партнерам, включая биометрию в органы). Отправку телеметрии (буквально слежку) в винде условно можно отключить, но весьма нетривиально для пользователя и по сути заставляет пожертвовать обновлениями, а значит и безопасностью (ну любителям кактуса не привыкать). Ну и так далее и тому подобное.