Sarebbe estremamente difficile rispondere a questa domanda con qualsiasi autorità senza porre dei limiti. È possibile visualizzare report di sicurezza da fornitori (es. RSA, FireEye, Symantec, Verizon, Websense, Mandiant, Trustwave, Microsoft, ecc.) Per rivedere la metodologia di campionamento, la dimensione del campione e la conclusione per avere un'idea dell'impulso globale del settore rispetto questo argomento. Non consiglierei di fare affidamento su alcun rapporto di un singolo fornitore a causa dei rigidi confini posti da ciascun venditore.
Detto questo, esistono strumenti come sslstrip che rendono davvero facile per un avversario con connettività di rete posizionarsi logicamente in-line al traffico. sslstrip è abbastanza intelligente da rendere inutile https (fai una ricerca per "sslstrip" su security.stackexchange per un altro post re: internals).
Considera punti di accesso Wi-Fi aperti nelle caffetterie, negli aeroporti, nelle città, ecc. È davvero facile per chiunque configurare un AP dannoso e "annusare" le credenziali. Molto più facile che ottenere un file di password con hash e l'esecuzione di attacchi di dizionario contro l'elenco delle password con hash.
Allo stesso tempo, considera quanto è diventato diffuso il malware. I rapporti del venditore sopra spesso concludono che il malware sta diventando più avanzato man mano che i "cattivi" si organizzano. I cattivi sono anche nella loro azienda per fare soldi, quindi faranno tutti gli investimenti necessari per ottenere un buon recupero. Quindi il malware sta diventando avanzato e una volta infettato, i malintenzionati possono intercettare il traffico, reindirizzare il traffico, rubare la password o persino aprire il vassoio del CD (buon vecchio backorifice da CDC alla fine degli anni '90).
Un altro modo di guardare al panorama delle minacce è seguire le informazioni monetizzabili. Numeri CC, SSN, ecc. La password diventa il custode dei malintenzionati per accedere ai soldi. Se l'autenticazione della password può essere aggirata, i cattivi non si preoccuperanno di lanciare attacchi dizionario / bf / keylogger perché non c'è motivo di farlo. Quindi la domanda diventa davvero il modo in cui i cattivi hanno accesso ai dati che possono essere trasformati in denaro. La risposta a "come" diventa il modo più semplice possibile. Anche con l'adozione diffusa di EMV negli Stati Uniti o di metodi crittografici più ampi e forti, i cattivi troveranno il modo più semplice fare soldi (come ottenere il miglior rimborso per il loro investimento).