Давайте начнем с того, что если ставить вопрос о "сомнительности", то во всей этой индустрии и без смены PIN и так много дыр и security through obscurity. Не зря в большинстве цивилизованных средств размер ответственности картхолдера пришлось устанавливать законодательно.

Что касается смены PIN, то я в упор не вижу в этом проблем с технической стороны. Более того, с точки практики IT-безопаности, регулярно сменяемый PIN более безопасен чем один, выданный на 2 (а то и больше) года.