Как определяют номер телефона у посетителей сайта?
Куки исключены, браузер не сохраняет их и не хранит историю.
1. Про evercookie слышали? А про Web Fingerprint?
На хакере перечислена масса способов хранить ID на вашем компе без использования Куков и кэша, а технология Web Fingerprint позволяет хранить цифровой отпечаток компа, браузера на сервере банка: Фингерпринтинг конкретного ПК с точностью 99,24%, не спасает даже смена браузера.

Если вы - клиент банка и заходили в его интернет-банкинг, он легко может вас опознать при использовании того же браузера и того же компа.
А если у вас на мобиле установлено приложение интернет-банкинга - вы вообще под колпаком :)

2. Если вы лазите по инету залогиненым в Вконтакте/Яндексе, то через backdoors в их API можно определить ваш профиль и все ваши данные.
Сайт Соцфишинг работает на этом принципе.
Сам банк тоже может использовать соцфишинг и ставить невидимый ифрейм на своё меню, и при клике вы автоматически авторизуетесь через аккаунт, например, Вконтакте. Зная ваш ID на Вконтакте, ваш телефон легко узнаётся, их базы регулярно сливаются и продаются

PS: Узнать как конкретно вас "слил" и каким образом - невозможно без исследования конкретной ситуации.

факультатив
Всё вышеперечисленное - детский лепет по сравнению с тем, какие возможности имеет Google (и, частично, Яндекс с Apple).
У всех дома стоит точка WiFi, к которой коннектится ваш комп и мобильник с Андроид. Через мобильник Гугл знает все номера телефонов, которые подключаются к этой точке доступа (и все аккаунты соцсетей в которые вы логинились с мобильника). Поэтому когда вы лезете Хромом с компа через эту же точку доступа - Гугль уже знает, что это вы (или один из ваших домочадцев). По GPS на мобильнике он знает даже адрес вашего проживания с точностью до подъезда.
Так что мы все давно уже добровольно "чипованы", чего удивляться что о нас всё известно.

Вы же допускаете возможность, что где-то указывали свой номер телефона, верно? Этот сайт/сервис сохранил хитрым образом ваш идентификатор с привязкой к номеру. Далее, заинтересованная сторона (банк, ), имея доступ к такой BigData (есть спец сервисы, которые агрегируют эту инфу) определила вас с вероятной точностью и вам позвонили.