Phishing con URL autentici?

[U235]

...
Molto interessante la tua osservazione sulla assenza dei sottodomini, però, come avevo fatto presente, è di rilievo la presenza del dominio corretto di login all'interno della cronologia del browser.

Questo punto potrebbe trarti in inganno. Come hai valutato la cronologia del browser? O forse sarebbe meglio capire i vari passaggi. Nei post iniziali indichi link che non sono del dominio principale di PayPal. poi non ho cliccato in nessuno dei tuoi link, quindi magari mi sfugge qualcosa... In ogni caso il certificato si controlla sul momento non sulla cronologia che a volte può trarre in inganno.

Per quel che riguarda la tua speculazione ...

Se ne potrebbe discutere alla luce di quello che hai detto, ma francamente non è importante in questo momento. L'attenzione per il momento riguarda la parte del certificato ssl, questo dando per "ammesso" che in qualche modo ti abbiano "spooffato" il dns a prescindere da come.

Escluderei comunque il dark web, visto che qui qualcuno è chiaramente entrato in possesso dell'informazione "correlazione-mail-nomintivo-utentePPal". Per questo, l'idea è di qualcuno che sia riuscito a violare la mia casella sbirciandovi dentro.

Il dark web è come un mercato nero, se qualcuno viola delle caselle mail di un qualche provider (quindi in blocco, ma anche singolarmente) spesso le info le mette a disposizione, dietro pagamento, nel "mercato nero". In ogni caso la tua idea potrebbe essere corretta, ma il succo è comunque quello... se hai rivelato dati al di fuori della tua mente... no... va beh ora stavo esagerando ... diciamo: se hai immesso dati un un sistema elettronico collegato alla rete elettrica, allora questi dati sono a rischio, poi quanto siano a rischio è relativo, ma lo sono. Quindi oserei ripetere che reperire i dati è sempre possibile una volta digitalizzati (ma anche tramite cartaceo vocale ecc...). Ma anche questo tenderei a lasciarlo "per dopo", non è influente per capire come possa essere stato scavalcato il problema del certificato ssl (sempre se è avvenuto e non sia una cattiva interpretazione).

Dici poi bene (parole sante) quando affermi che occorre attenzione da parte dell'utente (dove va a cliccare, quali dati inserisce, gestione password ecc.), ma come tu stesso evidenzi, informazioni immesse sono automaticamente "pubbliche", il che credo implichi una significativa distinzione: la violazione per es. di una casella mail o di un sito non può essere contrastata dall'utente (cioè non è di sua competenza).

Ni... esistono molti strumenti per cercare di contrastare le violazioni, intendo strumenti che l'utente deve usare correttamente per ridurre al minimo il rischio, in quanto nella maggior parte dei casi l'attacco tende ad essere rivolto all'anello debole della catena di sicurezza, ovvero l'utente. Poi certo, a volte gli attacchi avvengono in un modo in cui l'utente non è coinvolto, ma anche in questi casi spesso l'anello debole è sempre l'uomo (magari l'amministratore di sistema). In ogni caso si, ovviamente le violazioni sono sempre possibili, ma non basta dire: "mi hanno hackerato la password di paypal!" per avere magari indietro "soldi spesi" dal tuo account.

Prendi ad esempio il tuo caso, potrebbe anche succedere che magari sei convinto di aver letto paypal.com ed invece magari scopri che si trattava di paypall.com o qualcosa di simile (ovviamente immagino abbia già controllato bene nel tuo caso). Senza considerare poi gli attacchi Punycode.
Un altro caso potrebbe essere quello in cui in qualche modo hai (tu o chissà chi...) installato un certificato root per una Authority CA fasulla sul tuo browser, a quel punto potresti tranquillamente trovarti il certificato sul dominio corretto in quanto il fasullo è l'autorità stessa. Ma anche in tutti questi casi c'è una vulnerabilità nel controllare attentamente quello che si fa non solo sul momento, ma anche i vari comportamenti in tempi non sospetti.
Il consiglio ultimo è sempre quello di non cliccare su link arrivati via mail o comunque è sempre preferibile digitare il dominio correttamente nel browser e ricontrollare più volte se si tratta di "roba" sensibile.