Есть ли смысл заказывать OTP-токен?

А почему USB токен от такого не защитит?

Если он будет вставлен в комп, то вирус может получить к нему доступ. Пароль от токена перехватывает, в фоне делается платежка. Визуально платежку видно не будет и вы ничего не заметите. А OTP-токен как раз от этого и спасает т.к. нужно физически подтвердить платеж введя одноразовый код.
Уж поверьте, я в этой области 12 лет работаю.

а на лету он не может данные платежки поменять?

С этим не сталкивался. ИМХО смысла в этом нет т.к. если данные будут изменены то вы их увидите… и сразу же обратитесь в банк для отзыва платежки. Лучше замаскировать платежку злоумышленника, чтобы вы даже не заподозрили, что ваш счет обнулили…
И самое интересно, что даже в таком случае банк ответственности не несет т.к. платеж был подписан Вашей ЭЦП.

Дополнительная защита не помешает, однако… Одноразовый пароль подтверждает транзакцию. Что именно в этой транзакции OTP-токен не знает, то есть он может подтвердить и совершенно левую платежку. Атака с заменой данных на лету вполне реальна, хотя и встречается реже других схем мошенничества.