как меня "ломали"
Вернувшись в пятницу в Мюнхен, я послал в саппорт GMX требуемый ими скан паспорта. Процедура показалась мне довольно подозрительной: при регистрации я никакого паспорта никому не показывал. Я тут же следом отправил в саппорт запрос, не получали ли они уже денька эдак три назад паспорт "Игоря Петрова". В пятницу в восемь часов вечера (мы в Германии, замечу) мне позвонил менеджер GMX и, вздыхая, сказал, что мои предположения абсолютно верны. Перед ним сейчас лежат два скана паспорта Игоря Петрова - на них одинаковые имена, фамилии и даты рождения, но разные номера и фотографии. Получив несколько дней назад первый, они сличили данные ("Какие?" - воскликнул я, - "Имя, фамилию и дату рождения?!" - "Ну да", - промямлил менеджер) и послали заявителю линк на смену пароля.

Таким образом в данном случае дым рассеялся и на месте удалого хакера обнаружился банальный уголовник.

Как это работает, в принципе? А вот, возможно, так и работает. Письмо в саппорт, иногда слезливое, иногда угрожающее. Можно "я забыл пароль", а можно "у меня украли пароль". Заявитель ничем не рискует: он пишет из-под прокси, не получилось - можно попробовать еще раз, надеясь, что теперь запрос попадет другому саппортеру, или перейти к другому "клиенту".

Как с этим бороться?
В рамках бесплатного почтового ящика - видимо, никак. Если почтовый адрес и какие-то минимальные данные о вас общеизвестны, то всегда есть вероятность того, что запрос попадет доверчивому/ вставшему не с той ноги/ забившему на все саппортеру и тот отправит злоумышленнику пригласительный билет в ваш почтовый ящик.

В рамках жж - ничего нового. Можно устраивать сидячие демонстрации у дверей СУПа и лежачие у ворот Six Apart, но при нынешней процедуре высылки паролей и при нынешнем правиле "первого ящика" любой журнал находится под угрозой уничтожения. Вне зависимости от троянов, снифферов и сложности пароля.