Möglich ist das sicher... paranoid sollte man deswegen aber nicht sein.
Wenn ich online etwas abschließe (Vertrag, Anmeldung usw.) und ich unmittelbar (zeitlicher Zusammenhang) eine Mail bekomme mit einem Bestätigungslink und die Mail von dem zuvor online besuchten Unternehmen, Anbieter kommt, bin ich zu 99,9% davon überzeugt einen sicheren und notwendigen Link zu klicken.
Sicher kann man sich sein, dass Versicherer, Banken, Dienstleister ohne Aufforderung keine Verifizierungsmails (unaufgeforderte Nachfrage nach perönlichen Daten, Kennwörtern, Nummern) verschicken.
Sollten Probleme bei bestehenden Konten, Verträge auftauchen, kommen die Mitteilungen auf dem analogen Postweg.