Questo dipende molto dai siti ai quali hai effettuato l'accesso e da quanto ti senti attento come persona. Posso immaginare i seguenti scenari (non specifici per nessuno dei siti che hai menzionato, ma solo scenari generali):
-
Le informazioni sensibili vengono trasmesse nell'URL: per ogni richiesta, un ID di sessione viene trasmesso nell'URL. In questo caso i server proxy registreranno l'ID di sessione e chiunque potrà accedere a questi file di registro è in grado di eseguire il dirottamento di sessione. Queste informazioni potrebbero anche essere archiviate nella cache locale, chiunque possa aver accesso fisico al tuo computer potrebbe utilizzarlo.
-
Falsificazione richiesta cross-site: Implementazioni mancanti o inadeguate di token CSRF anti possono portare a azioni non convalidate per conto dell'utente perché l'origine della richiesta non viene convalidata. Un esempio di una scarsa implementazione di anti CSRF è la trasmissione di questi token nell'URL (vedi # 1.)
-
Cross Site Scripting & Impostazioni dei cookie insufficienti: se un sito Web non protegge in modo appropriato i cookie (ad esempio manca l'attributo HTTPOnly) e esiste una vulnerabilità XSS nello stesso sito Web, l'ID sessione potrebbe essere rubato mentre visita un sito dannoso (ad esempio cookie stealer).
-
Splitting di risonanza HTTP: noto anche come iniezione CRLF (% 0A% 0D) è una vulnerabilità dovuta alla mancanza di convalida dell'input. Potrebbe portare all'avvelenamento della cache web del client, allo scripting cross-site, al furto di informazioni sensibili e altro.
Questo vale per i siti che hai citato? Purtroppo sì, lo fa! Sebbene la maggior parte di questi siti sia nota per essere sicura, ogni tanto vengono scoperte alcune vulnerabilità.
Una domanda che dovresti porci è: dovrei avere sempre una sessione attiva mentre navighi su eventuali siti Web dannosi?
Un'altra domanda potrebbe essere: perché posso sfogliare possibili siti Web dannosi con lo stesso browser che utilizzo per i siti citati?
La tua domanda bonus:
Vorrei invalidare il "sistema operativo completamente aggiornato". Ci sono 0giorni là fuori che non sono segnalati al / i produttore / i (per questo sono chiamati 0giorni in primo luogo). Non c'è nulla di sicuro al 100%.
Il tuo router: Abbiamo visto in passato che anche se l'interfaccia amministrativa remota del router non era abilitata, c'era una backdoor in un router specifico che poteva accedere alle interfacce amministrative con un utente specifico Agente (non sono richieste credenziali).
Detto questo, non significa che dovresti diventare paranoico.