Злоумышленники могут, с помощью манипулированных веб-страниц, которые юзер должен открыть не закрывая почту, внести новые настройки в фильтры. Которые в свою очередь могут пересылать всю входящую и выходящую почту дальше. Такая ошибка называется Cross-Site-Request-Forgery-Lücke (CSRF) или Session Riding.