腾讯这种大公司还能被XSS?

今天号被盗了盗号者就发布了一些盗号说说看起来就像是得到了我QQ空间的key,但真实密码还是安全的.
有点奇怪像XSS这种老招腾讯公司应该已经完全免疫了吧 .为什么还能被盗百思不得其解.

问. 现在不是有httpOnly技术为什么还能被人XSS?
还有如何通过key获取QQ空间信息