Hackers de elite, contratados ou patrocinados por um estado, tiveram três anos aceder abusivamente a mil milhões de contas de email.