Visa Checkout prevede misure preventive contro lo spoofing?

Il problema che citi è reale.

Questo schema è stato oggetto di critiche e ha portato a una nuova implementazione ("3D Secure by ...", il vecchio purtroppo usa talvolta anche questo nome) che è a due fattori (di solito ricevi un SMS con un codice è necessario inserire nella pagina del commerciante). Sei anche avvisato dell'operazione imminente ("ora sarai trasferito su 3D sicuro ..."). Lo schema che hai citato non ha superato i requisiti della Banca centrale europea.

I requisiti per i pagamenti e-commerce sono stati rafforzati con SAQ A-EP PCI-DSS , specificamente progettato per i moderni pagamenti e-commerce (dove non sei reindirizzato a una banca o alla pagina di un processore per soddisfare il tuo pagamento)).

Il reindirizzamento a PayPal nel tuo esempio è un buon compromesso: entri in una pagina più conosciuta che, come dici tu, puoi analizzare e controllare contro la sicurezza di buon senso (in particolare a chi è stato consegnato il certificato).

Is this scheme secure?

La sicurezza non è mai assoluta, quindi è impossibile rispondere se questo è completamente "sicuro".

Nello scenario Visa ti stai sostanzialmente affidando a newegg. Dietro le quinte, il popup di Visa utilizza probabilmente TLS, ma a tutti gli effetti newegg potrebbe offrirti uno schermo di phishing e non avresti difficoltà a dirlo. Tutto quello che sai è che hai una connessione sicura a newegg.

Nello scenario paypal puoi verificare facilmente la connessione TLS e l'URL, tuttavia ciò non significa che PayPal sia sicuro o affidabile. Devi ancora fidarti di paypal.

In sostanza si tratta di quanto sia affidabile newegg. Se newegg è altrettanto affidabile di paypal, allora sono entrambi altrettanto sicuri. Se newegg è meno affidabile, allora la soluzione paypal è più sicura.

Se invece di paypal ci fosse una parte meno affidabile con un'implementazione identica a PayPal, allora la soluzione per i visti potrebbe essere più sicura.

It seems that a rogue site could easily fake the popup and harvest the login credentials.

Se non ti fidi del sito, allora dovresti preferire l'implementazione paypal. Se il sito è affidabile, la differenza di sicurezza è minima.