Владимир Дубровин

На практике в современных браузерах этот вектор в XSS не эксплуатируется из-за URI энкода. Последними популярными браузерами где этот вектор был эксплуатируем были IE 6/7, они не URI-енкодили GET-параметры при редиректе. Однако вставка URI без HTML-енкода в любом случае является ошибкой, даже если не приводит к XSS, например по стандарту должен HTML-енкодиться символ &, который может присутствовать в урлах.

Вот вам пароль, ломайте: qwerty23457823

Пароль нельзя сломать, можно сломать либо хеш пароля (восстановив пароль)с, либо шифрование, где пароль используется как ключ либо сервис или оборудование, где пароль используется для аутентификации. В первых двух случаях все зависит от уникальности и энтропии ("случайности") пароля и от криптографического алгоритма, например подбор хеша scrypt, argon2, yescrypt даже по словарю может быть затратным и требовать такой конфигурации оборудования, которую дорого собрать дома и практически невозможно получить в облаке или хостинге. В случае аутентификации все зависит от реализуемых алгоритмов защиты от перебора и credentials stuffing.

То, что пишет Касперский это просто оценка энтропии без учета других факторов переведенная в попугаи, понятные пользователю (оценка типа 40 бит энтропии ему обычно не понятна, а 4 года на взлом - уже лучше), к реальному времени оно отношения не имеет. Оценка энтропии это тоже некое шарлатанство, делается обычно эмпирическими методами, в которые заложены типичные шаблоны применяемые пользователем и учитываемые при брутфорсе. Ваш пароль может быть очень энтропийным, но если он уже засвечен в какой-то из утечек, времени на его подбор надо примерно 0.

HTTP public key pinning в настоящее время не поддерживается, например в Chrome с 67 версии. Причина в том, что функция оказалась очень опасной - утрата доступа к сертификату соответствует утрате домена. И реальные инциденты показали, что риски слишком высоки, превышают потенциальные преимущества для безопасности.

"Суть такова: предположим я найду легко взламываемый сейф в банке и захочу на этом заработать, с банком не договаривался".

Да, статья есть, про поиск уязвимостей без разрешения - статья 272 УК РФ, про "договориться" - статья 163 УК РФ. Хотите заработать на уязвимостях - идите на hackerone.com, bugcrowd.com или в корпоративные программы, в них всегда описано на каких условиях можно искать уязвимости и кто и сколько за это платит.

Да можно. В российском законодательстве есть понятие "блокирование" компьютерной информации. Ген. прокураторой дается такое определение:

блокирование информации - результат воздействия на компьютерную информацию или технику, последствием которого является невозможность в течение некоторого времени или постоянно осуществлять требуемые операции над компьютерной информацией полностью или в требуемом режиме, то есть совершение действий, приводящих к ограничению или закрытию доступа к компьютерному оборудованию и находящимся на нем ресурсам, целенаправленное затруднение доступа законных пользователей к компьютерной информации, не связанное с ее уничтожением;

Теоретически, это возможно, используя уязвимости браузера и операционной системы.
На практике, если у вас обновленная операционная система и браузер, это возможно, но не очень вероятно, потому что уязвимости нулевого дня (не известные производителям ОС и браузера) стоят очень дорого, и применяются, как правило, в таргетных/правительственных атаках. Если вы не политик, бизнесмен, публичная персона, журналист, террорист, шпион и т.д. и не владеете информацией на миллионы долларов - скорее всего вы не были целью таргетной атаки, хотя атака может быть направлена на организацию, в которой вы работаете.
По описанию, больше похоже что это был спам.

Сами по себе эти записи не страшны - кто-то проверял ваш сервис сканером безопасности.

Попробуйте поучаствовать в Bug-bounty программах
https://hackerone.com/
https://bugcrowd.com/

Если был вход с чужого IP — значит увели пароль. Если бы проблема была именно в интерфейсе, например для рассылки спама использовался бы CSRF или XSS в веб-интерфейсе гугла, то в рассылке фигурировал бы ваш IP, т.к. действия тогда производились бы через браузер.

Другой вопрос, что не обязательно использовался троянец. Могла использоваться или опять же уязвимость в гугловом интерфейсе или уязвимость в браузере, чтобы подменить форму с ввода пароля. Повспоминайте не было ли такого, что пароль был запрошен в необычный момент, например, на чтении письма.