工業技術院の電子技術総合研究所は、Cookieを使用せずURLに埋め込むIDに頼ったセッション管理方式を採用したウェブメールシステムの脆弱性を公表、運営7社に危険性を通知した。これは同研究のセキュリティ脆弱性研究グループがウェブアプリケーションの安全性について調査してわかったもので、セッション管理（一連のアクセスが同一ユーザからのものであることを追跡する処理）のために、URLの引数部に予測が困難なセッションID（番号）を含ませる技術（URLrewriting技法）を使用した場合、そのURLが解読可能でも、文字列がそのまま第三者に漏洩してしまうことがわかった。この問題を警告されたgooコミュニティ、ZDNetMailなどの各社は、認識し対策を始めているという回答を寄せている。なおユーザー側の対策としては、ウェブメールで受信したメール中にあるリンクを、クリックしない、アクセスする場合は別のブラウザウィンドウを開いて、そこに目的のURLをコピー＆ペーストしてアクセスする、ウェブメールのHTMLメール機能をOFFにする、HTMLメールを開かない、といった方法で危険を回避できる。http://securit.etl.go.jp/SecurIT/advisory/webmail-1/
