Воруют платежные пароли

Приходит сегодня письмо с темой: Перевод от пользователя Яндекс.Денег.
Я как раз ждал перевода, кликаю и попадаю на страничку "Яндекс: Паспорт", где форма: "Введите ваш платежный пароль:". Я его ввожу, а потом ничего не происходит. Смотрю URL - а там вместо passport.yandex.ru или подобного - какой-то payment1.hut2.ru - слизали мой пароль. Срочно пошел в Яндекс-деньги, поменял платежный пароль.
Интересно, раз нужен был только платежный пароль, то обычный на вход они уже подобрали?