Есть возможность внедрить html код на сайт(тем или иным способом).
Браузеры сохранят пароли и подставлют их в формы.
Модно ли внедрить форму с паролем. и джаваскрипт который бы утащил бы его? У меня удавалось так красть пароли уже с готовой формы(браузер: хром).