mht файл имеет примерно такую-же структуру, что электронное письмо - это HTML-страница с картинками и прочими внедренными элементами, в т.ч. скриптами. Если вы на такой странице введете пароль - то да, его можно вытащить. В остальном открытие MHT не отличается от открытия локальной HTML-страницы. Т.е. теоретически, если все хорошо, то вытащить ничего нельзя, пока вы сами не введете. На практике, MHT-файл может содержать эксплоиты, эксплуатирующие ошибки в браузерах или flash.