ITGuy уже ответил, немного добавлю:
Необязательно использовать самоподписанный сертификат. Достаточно открыть какую-нибудь левую фирму и получить сертификат на нее. И домен сделать какой-нибудь правдоподобный. Например когда еще жива была Живностенска Банка - у нее домен для Интернет-банкинга был netbanka.cz, т.е. отдельный. И никто этого особенно не замечал.
Для получения сертификата достаточно внести фирму в базу D&B (делается очень быстро и бесплатно) и иметь работающий телефонный номер для подтверждения. Это если делать сертификат через Verisign. Говорят у Thawte еще проще. Т.е. для мошенников, которые хотят украсть значительную сумму денег, это не представляет труда.
Ну а дальше все как ITGuy расписал - сами коннектимся к реальному серверу банка и дублируем весь траффик. И вот тут вообще нет проблем сделать любую свою транзакцию если для авторизации используется "калькулятор". Клиент вводит очередной номер - перехватываем его, клиенту выдаем какую-нибудь ошибку, например "таймаут", номер сохраняем. Ну а дальше просто сами заходим под логином клиента, вводим перехваченные номера и делаем все что угодно.
Yevgen35 - кстати да, уже привыкли к тому что сертификаты могут быть самоподписанные или заэкспайренные. Например у российского Diners Club полгода назад сертификат заэкспайрился и обновили они его только недавно. Сегодня заходил в Интернет-банкинг российского Юникредита - тоже заэкспайренный сертификат. Никто за этим особо не следит...