Basta substituí-lo por:
scp [email protected]:'/folder/*.{jpg,png}' .
Por favor, note o par de aspas simples. No seu caso, o seu shell local está avaliando a expressão, transformando-a realmente em:
scp [email protected]:/folder/*.jpg [email protected]:/folder/*.png .
daí as duas senhas pedidas. Nesta solução, o par de aspas simples protege-o da avaliação pelo shell local, portanto, é o shell remoto chamado pelo (remoto) scp que está avaliando a expressão.