Нелли Кристалл
Там сириоус бизнес и персональные данные, к подобному все относятся очень ответственно. Понятно, бывают и эксплойты, и уязвимости, но их патчат как могут. Время от времени базы утекают, причём даже у серьёзных чуваков типа плейстейшн нетворк, но тогда никто не замалчивает, а бьёт в набат - потери могут быть не только репутационными, но и финансовыми.

Через видео или картинку пользователь ничего не сможет себе сделать. Если, конечно, что-то сам не скачает и не запустит. Проблема обычно в технической грамотности.

Один из относительно простых и очень эффективных способов выуживания паролей - фишинг. Ну типа когда пользователю подсовывается сайт с фальшивой ссылкой на левом домене, полностью имитирующий страницу входа в оригинальный. Пользователь сам вводит нужные пароли. Сейчас в мире крипты подобное на постоянку.
Но вообще способов увести пароли хватает. И не через сайт - там защитой занимаются профессионалы. А через пользователя - он в цепочке слабое звено.

Так что хранилища паролей + пароль на каждый сайт + двухфакторная аутентификация + парольные фразы где можно и т.д.