Фишка, видимо, в том, что ставится копипаст на вход. tmp-шки где-то сохраняются. Когда человек заходит в ящик, он набирает пароль и информация об этом собирается определенной программой. А дальше уже идет её анализ. Чем чаще заходит, тем больше вероятности получить ключ