gmail работает по защищенному SSL, ни какими сниферами кукесы от туда не вытянуть, это катило лет 5 назад. XSS в паблике точно не найти, это одна из самых надежных почтовых систем, а если кто думает что XSS можно нащупать за пару часов ручками, до с большой вероятностью желающих это сделать очень много, так много что круг возможных вариантов уже сведен к минимуму. Люди которые заверяют что могут ломануть gmail либо не делали этого уже лет 5 либо просто кидалы.