入力された値をJavaScriptで読んでユーザの操作を待たずサーバに送信することは可能なので
その詐欺サイトが実際にやってるかどうかはともかく相手に悪意があるならオートフィルが動いた時点で盗まれる可能性がある