Но, у них авторизация по rsa, который генерируется при запросе клиента на спец. страницу, так вот, для несуществующих логинов, этот ключ при каждом новом запросе всегда разный, а для существующих - час один и тот же. И таким образом, можно изи перебрать существующие - там той защиты, нету.