Да как так, на ачате было, кажись на флэше с ActionScript было, флэшка слалась на мыло, она получала куки, сливала письма и отправляла на сниффер
а флэшка с ActionScript это XSS ...ИМХО