Je pense que j'ai un nouveau record. Ça mérite même un peu de pub : la société Shiva qui fait du ménage à domicile et à qui j'ai fait appel une fois pour un gros nettoyage dans un appart, vient de m'envoyer un mail pour que je puisse télécharger une attestation fiscale. Dans le mail se trouve un lien vers leur site, qui ressemble à ça :

http://lesite.com/machin/truc/?id=hb81c654,149eb196,141f185f&p1=email&p2=mdp

En l'occurrence "email" et "mdp" sont bien mon adresse mail et mon mot de passe en clair (et le lien est en HTTP, pas HTTPS, tant qu'à faire)