Уязвимость в Яндекс.Деньгах. Ненадёжность платёжного пароля

Скорее всего владелец ВОТ-акка не в курсе что деньги ворованные. (хотя догадываться должен)

Попался на какую-нибудь уловку типа "пополняем счет на 50% больше номинала".

вряд ли злоумышленник себе на патроны потратил ворованное.

платен только токен. три других метода бесплатны.

Отказаться действительно невозможно, это небезопасно.

Изменение пароля, телефона, прочих важных данных и сейчас надо подтверждать платежным паролем - либо, если вместо него подключена усиленная авторизация (именно ее варианты Вы перечислили) - одноразовым паролем.

Я, вообще-то, не очень понимаю, откуда мнение, что у нас все "только на куках". Это совсем не так.

IP-адреса бывают и динамическими.

В случае, если Вы используете усиленную авторизацию, подтверждать, что это были Вы, не нужно.

Я не очень понял из Вашего текста, Вы недовольны слишком сильной или слишком слабой защитой?

всё очень просто, стоит почистить куки и совершить платёж введя только платёжный пароль не возможно :)

это глупость, платёжный пароль - пароль для операций со счётом, а изменения в профиле, как раз и должны подтверждаться усиленной авторизацией!

а бывают и статичными - чем не вариант привязки?

тупой защитой, из-за которой, не возможно пользоваться

Вы в каком-то другом 21-ом веке живёте.

Через уязвимости можно заставить браузер выполнить произвольный код. А код может быть разным. Тут может быть и доступ к буферу обмена, и скачивание-подгрузка трояна, и его фоновый запуск.

Браузер можно даже грохнуть некорректным html-кодом. Недавний пример этого с Opera.

Даже в графических форматах уязвимости находили. А нынче многие горести из-за плагинов. Известнее всего два детища Adobe - Flash и PDF. Подружаемый в iframe хитро скомпилированная пэдээфка в несколько килобайт запросто может загадить и прогрызть ОСь до основания, привнеся на машину кучу нечисти.

Ну и межсайтовый скриптинг сейчас эксплуатируется нещадно.

Про "на ваших виндах" - так тут уже ОСь значения не имеет, если дыра в браузере и используемых плагинах. Теоретически уязвим может быть любой код, на практике всё упирается только в сложность реализации.

Насчёт IE - не смешно уже. Статистика неоднократно показывала, что количество уязвимостей в других браузера на порядок больше, и по логике решетом называть на каждом углу надо именно их.

Ставьте подтверждение по смс, ЯД теперь эту функции сама навяливает.