Если юзает веб-фейс - тупо юзай FF + LiveHTTPHeaders.
Если сидеЛ, то только искать в логах троев и кейлогеров, которые у тебя сидят