Низко берешь. Надо чтобы не сообщение появлялось, а, допустим по всем друзьям рассылался спам. А еще можно сделать так:
document.location.href = 'https://gmail.com'
// тут читаем все email'ы пользователя и шлем на свой сервер.
Или так:
document.location.href = 'https://online.sberbank.ru'
// тут делаем денежный перевод на свой счет со счета юзера.
Ну как идеи? Помочь с реализацией?