Szerintem így történhetett:
Megszerezték az Asteriskből a user nevet/jelszót, aztán ezzel már be tudtak lépni az adott oldalra. (Mivel ezeknél a szolgáltatóknál az oldalra bejelentkezéshez ill. a telefonáláshoz is ugyanaz a név/jelszó kell.)
Az oldalra belépés után meg a "Recharge a friends phone" funkcióval átpakolták magukhoz a pénzt.