Barrapunto

Obviamente, un usuario malicioso que tuviera acceso a la cuenta de email del usuario podría ver la contraseña, pero si los malos pueden leer tu email, también podrían cambiar tu contraseña, entre otras cosas mucho peores.

Sin ser experto en seguridad , el proceso es seguro porque introducir la contraseña usa conexión https y certificado válido.
Ademas las claves se almacenan con 'salt' lo que hace que nadie con acceso a la base de datos conoza las password de usuario

Pero ...

¿ qué es eso de mandarla en claro en un correo ?

Eso es inseguro y no hace falta ser experto / y malo ) para rastrear tráfico SMTP
Ademas el usuario para acceder es la direccion de correo, así que tiene de golpe usuario/password

Espero al menos que en el correo no indique que pertenece a 'eldiario'

Me parece que el que se equivoca eres tú :)

Almacenarla cifrada implica que lo que tú comparas es lo que está descifrado. No existen colisiones.

Una función de hashing no es eso, por ello está sujeto a las colisiones (que dos palabras distintas den como resultado el mismo hash). Es decir, el hash que almacenan puede ser el resultado de más de una contraseña distinta.

Con gpg tienes por ejemplo un ejemplo.