Херню там автор написал. Задержка в несколько минут роли не сыграет. Впрочем, на сверхзащищенных сервисах вроде mail.ru есть вагонище незкарытых xss. В таком случае действительно можно прочитать письмо. По секретному вопросу надо смотреть от сервиса к сервису: в свое время его можно было много где сменить без указания пароля. К тому же, есть вероятность багов, позволяющих менять его только с рабочей сессией без пароля. Можете скомбинировать методы, если угодно.