В теории вас могут мониторить на предмет входа в учётку, и в этот момент послать запрос на авторизацию со своей стороны. Т.е. вы тыкнули "вход", хакер знающий ваш пароль тоже тыкнул вход. В приложении высветилось последнее для хакера, но там нет нужного числа.
Эскалация влияния: Полный захват учетной записи Microsoft через XSS в процессе аутентификации