Seguramente respondió un correo falso del brou y dio todos los datos de acceso a la cuenta y tal vez algún número de token a la misma vez que estaba respondiendo y enviando el mail estaban accesando a la cuenta utilizando ese toque de seis dígitos que tiene una validez de 20 segundos segundos