偽装サイトにワンタイムパスワードを入力させて、
その裏で即座に正規サイトへログインして金を引き出すって手口もあるしなぁ