Engangspassord som ikke er tidssynkroniserte er sårbare for nettfiskere. På slutten av 2005 ble en del kunder av Nordea bank i Sverige lurt til å gi fra seg engangspassordene. Selv tidssynkroniserte engangspassord er sårbare for nettfiske, om passordet blir brukt raskt nok av angriperen. Dette ble sett i 2006 under et angrep på kundene av Citibank i USA. Brukere av slike systemer må i utgangspunktet være klar over at de er sårbare overfor mellommanns-angrep, og må aldri gi sitt engangspassord til tredjepart. Hvorvidt man bruker tidssynkroniserte enganspassord eller ei er i utgangspunktet irrelevant for graden av sårbarhet. Dette gjelder også for utfordrings-baserte (challenge) engangspassord, selv man må utvide angrepet på tidssynkronsierte engangspassord en del til et fullt mellommanns-angrep.