Por defecto, el correo electrónico se almacenará en la memoria interna del teléfono, no en la tarjeta SD. (Aunque se puede "mover" la aplicación al almacenamiento SD, por lo que es posible que se utilice la tarjeta SD). Como otros han dicho, una vez que el correo está en la tarjeta SD, no hay protección, ya que la tarjeta SD es extraíble (ya que los datos no están encriptados).
Para el correo que se almacena en la memoria integrada del teléfono, un atacante tendría que desbloquear el teléfono para obtener los datos. O bien directamente a través de la aplicación de correo una vez desbloqueado, o bien poner el teléfono en "modo disco USB" para leer el estado del teléfono desde un ordenador conectado por USB. (Un atacante realmente sofisticado probablemente podría desmontar el teléfono y conectar la flash a un lector personalizado, pasando el bloqueo del teléfono y leer tus correos electrónicos sin cifrar desde la flash).
Tenga en cuenta que la conexión de Exchange permite que el servidor de Exchange envíe un comando para borrar su dispositivo. (Creo que esto depende de alguna configuración por parte del administrador de Exchange.) En la interfaz web de mi servidor de correo electrónico de Exchange, hay una opción para enumerar los dispositivos autorizados y para borrarlos de forma remota. Por supuesto, el teléfono necesita estar en una red para recibir este comando, por lo que un atacante podría retrasar este comando impidiendo que el teléfono utilice sus redes.