ALSO:
Bis vorgeraumer Zeit gab es einen Fehler in Flash (mit dem Flash 10 Release "angeblich" behoben), wodurch man mit bzw. ohne JavaScript Salz jemanden eine "präparierte" Site schicken konnte, um dann Microphone und Camera anzuzapfen.
Im Details ->
Ich weiß nicht alles was im Untergrund kursiert, aber mit etwas Know-How
und Vorstellungskraft ist es ein leichtes zu sagen:
Ja es gibt solche Hacks. Wobei das an dieser Stelle eine Hypothese meiner selbst ist.
Falls man im Besitz einer Zero-Day Lücke ist, kann man derartige Dinge jedenfalls vollführen.