Уважаемые пикабушники, подскажите!⁠⁠

Перевыпускала карту в одном зелёном банке. После того, как карту отдали, мне сказали проверить у сотрудника, остались ли подключены мобильный банк и т.п. Сотрудник попросил вставить карту в банкомат и взял логин и пароль от моего онлайн банка и попросил продиктовать одноразовый пароль, который приходит по смс, т.е. он хотел со своего планшета зайти на мою страницу, где есть мои личные данные. Скажите пожалуйста, что это за хрень и насколько это законно? Ведь даже в смс написано никому не сообщать пароль.