Сейчас бы разным сайтам направо и налево доступы к учетке раздавать ради коврика. А номер карты с датой и cvv кодом ради новой таблички "Не лох" нигде вводить не надо?
"Доступ" не подразумевает возможности угнать учётку. То, к чему сторонний ресурс может получить доступ (круг информации об учётке), заранее ограничен близзами (пароль среди этих данных отсутствует). Сторонний ресурс может запрашивать данные лишь в рамках этого круга и перед этим учётка battle.net покажет, какой объем данных запрашивается.
Грубо говоря, сторонний сайт дёргает апи типа battle.net/api/getinfo и запрашивает, скажем, "battletag". Если он запросит "password", то battle.net ответит, что про такой запрос ничего не знает, он не предусмотрен.