Je vois la chose différemment...
Ce ne serait pas un programme pour trouver les mots de passe... Mais juste une façade pour récupérer des adresse mail. En cliquant sur le lien peut-être cela permet-il de récupérer le contenu de ton carnet d'adresses. Puis d'envoyer à tout ton carnet d'adresse le même message que celui que tu crois avoir reçu de ton ami...
A ta place, je ne cliquerais pas sur le lien, et j'appellerais mon ami pour lui demander si c'est lui qui a envoyé le message. Histoire de vérifier s'il n'y a pas quelque chose de type virus là dessous.
Aujourd'hui, l'informatique est relativement bien protégée, et le plus simple chemin pour s'introduire dans un ordinateur est de le faire avec le consentement de son utilisateur. Ca me semble être cette démarche qui est adoptée ici.

(^_^)

C'est un peu comme les gens qui se font passer pour des experts en charpente, qui entrent chez toi, et en profitent pour regarder discrètement le système d'alarme et la valeur des objets possédés...

(^_^)

Il n'a pas besoin de ton mot de passe pour se faire passer pour toi. Ni même d'ouvrir ta boîte mail. Il suffit de falsifier l'adresse de l'émetteur et de la remplacer par celle du destinataire, et le tour est joué. Avec n'importe quel langage de programmation, c'est fastoche à faire.

C'est comme si t'écrivais cette lettre même lettre à tes parents, et que tu écrives au dos non pas ton adresse, mais la leur. Ils pourraient croire que ça a été écrit de chez eux, mais en fait non, ça n'est jamais qu'une indication.