Как то давно читал одну статейку про взлом почты на мейл ру, где используют функцию востановления пароля и подменой некоторых строк в форме принимают пароль уже в своей почте, есть подозрение что это может прокатить тут.