Zumal kann man gefälschte Websites auch gut erkennen. Nur als Beispiel:

Wenn ich auf einen Foren-Link klicke, den mir jemand im Chat gegeben hat, werden 2 Dinge auffallen:

1. Die Website ist meist auf Englisch. Wenn man dann spaßeshalber durchs (gefälschte) Forum geht, werden einige Bereiche nicht funktionieren (tote Links). Außerdem kann man sich absichern, indem man nicht den Link direkt anklickt, sondern versucht den Forenbeitrag über die richtige Seite zu finden.

2. Man ist nicht eingeloggt. Wenn man dann beim Login nach einem Einmalpasswort gefragt wird, obwohl man keins hatte, sollten die Alarmglocken los gehen.

Aber selbst noch so viele Sicherheitsmechanismen bleiben wirkungslos, wenn man selbst bereitwillig alle Daten eingibt. Und solange man ein Einmalpasswort hat, macht man es dem Dritten schwer.

Soweit ich weiß, muss man alle Änderungen mit dem Einmalpasswort bestätigen, wenn man dieses zuvor registriert hat. D.h. einfach so Passwort und Mail ändern geht nicht.