Hm, darüber bin ich vor ein paar Minuten gespeichert. Schon beängstigend das man die Passwörter so einfach stehlen könnte. Ein kleines Javascript erledigt die Arbeit dafür, es kann zwar nur lokal ausgeführt werden, aber dennoch, seien wir mal ehrlich, wie einfach ist es jemand per Social Engineering dazu zu bringen eine .html Datei anzunehmen und diese auszuführen.
Hier ist der Original Artikel dazu, inkl einem Beispiel Script, das Script kann bedenkenlos heruntergeladen und geöffnet werden, es ist nur ein PoC und übermittelt die Passwörter nicht.