詐欺だとか業者だとか、犯罪の域になると一般人の想像を越えていきますからね。
ワンタイムパスがあるから絶対に大丈夫というのは、『俺は詐欺師に会っていても騙されない』と言っているのと同じように聞こえます。

”おれおれ詐欺”みたいな、『被害者が騙されていると気付かないまま実行させる』仕組みさえ作ってしまえばいいわけで。本件で言えば、加害者側がワンタイムパスの時間内に情報入手とログインを行うことが出来ればそれでアウトなわけです。
これは実現の難しさやリターンの少なさがネックなだけで、不可能ではありません。

心構えという意味ではPoiceさんの言うことは間違っていないと思いますよ。