@suwan さん。
犯人はまず偽サイト誘導
被害者はアカウントとパスワードをゲット
犯人はゲットしたアカウントとパスワードを使って本サイトにログイン
ワンタイムパスワードが被害者の携帯やメールに飛ぶ
被害者はニセサイトにワンタイムパスワードを入力
犯人は本人より入力されたワンタイムパスワードを使い本サイトに入力
という流れっぽいです。