Да, контрольное слово (многие сдуру пишут девичью фамилию матери) или телефон стащить нужно на который подтверждение нового пароля придет. В реале же, взломать сторонний ящик практически невозможно.
Впрочем, предлагаю посмотреть, сломает сисьадмин предложенный ему ящик или нет.