Du liegst mit Deiner Vermutung nach Einsatz der "weicheren Spähvariante" bestimmt richtig.
Ich bin mir nicht so ganz sicher, wie du diesen Satz meinst, daher vielleicht nochmal eine Ausführung zu meinem "Social Engineering"-Kommentar: Wenn ich Zugriff auf das PP-Konto eines anderen habe, dann kann ich mir vorstellen, dass ich da als professioneller Krimineller andere Möglichkeiten habe, als irgendwelche Rückbuchungen zu machen, z.B. dass ich auf den Namen des Geschädigten Dinge bestelle (teure Dinge), lass diese dann an eine Paket-Station schicken oder so was, von da her vermute ich, dass der Zugriff auf das PP-Konto des Geschädigten "von außen" funktioniert.
Das sind aber alles auch von meiner Seite nur Mutmaßungen, da ich eben kein Krimineller mit entsprechendem Background bin.