Нелли Кристалл
Через социальную инженерию чаще всего. Именно для этого нужно не помнить, а генерить пароли. Если у тебя в 10 мест 2 пароля, то если в одном утекают хэши, то даже если злоумышленник не знает пароля, то всё равно логин скомпроментирован.

Ну и хороший вариант подключать двухфакторку всюду, где только можно.

На самом деле что ФБ, что ВК, что чёрт лысый в прямом смысле (ну, как в хакерских фильмах) не ломаются вообще. Все идут через уязвимое место - через пользователя.

Я кстати у друзей-знакомых встречал с паролями ситуацию, от которой волосы дыбом.