Вотвот, согласен с terris куки неприходят, а заставить жертву скопировать и вставить код в адресную строку, причём в тойже вкладке что и письмо думаю нереально.

Добавлено через 1 минуту
(JavaScript код для адресной строки c редиректом действительно работает и куки приходят)