Я далеко не супер-хакер, но отвечу на твой вопрос =)
С помощью пассивной хсс куки стырить можно. Та хсс, что ты показывал - это и есть пассивная. Смотри внимательней на запрос...
...+document.cookie
Короче то, что мы тебе с goffog сказали - это и тырит куки =)

ЗЫ Насчет брута - честно не знаю. Думаю почту побыстрей будет брутить