десяток-полтора лет назад, когда я интересовался - шифрованными они не были, доступ, в принципе, у сотрудников был, но механизма "найти васю петрова, паспорт xxxxxxx,телефон..." у них не было - просто он нахрен не нужен для их работы (да и с паспортом-телефоном были напряги, можно было сообщить о себе любой бред или вообще пропустить этот пункт). Этот механизм есть у других ребят, из совсем другого подразделения, и у тех нет доступа к почтовому бэкэнду (потому что им, в свою очередь, нахрен не нужна та почта).
Учитывая размазанность хранилки по куче железа - там в общем-то чтоб добраться до почты уже зная ник - потрахаешься (и, опять же, если этим занялся не по делу - вызовешь вопросы соседей, какого хрена ты чем-то непонятным занимаешься вместо работы).

Но то полтора десятка лет. За это время воплотили в жизнь массу безумных законов, и сейчас такой механизм обязан быть - иначе товарищмайор законно выразят неудовольствие.

Но вот механизмы сессионной авторизации - все нормальные люди намеренно делают неперсистентными. И механизмов извлечения сессионных ключей из современных веб-серверов просто не предусмотрено.