Si tienes gmail, tienes un registro de conexiones y ahí puedes ver si realmente alguien esta entrando a tu correo, también creo que lo tiene hotmail.

Respecto al xploit, no podrías ver ninguna contraseña ya que las cookies son httponly... la ip si, asi que bueno siempre puedes hacer una denuncia desde tu proveedor de correo.

un xploit no es mas que una falsificación, suele estar compuesto por html, javascript y sobre todo mucha ingeniería social, realmente no es poner un xploit y ale ya tienes la contraseña.

Primero tienes que lanzar el xploit desde el propio hotmail(si es que encuentras una vulnerabilidad XSS), o bien desde un servidor externo....

Lo que de nuevo te recomiendo es que contactes con microsoft desde este formulario:
https://support.live.com/eform.aspx?productKey=wlmessengerabuse&ct=eformts&scrx=1