Ничего нового. "Злые хакеры" обычно так и работают. Никто не будет заниматься взломом, перебором, когда пользователь сам даст все данные. Ну и аутсорс, конечно, им-то дела нет, так что одни хотели сэкономить на инфраструктуре, другие этим воспользовались. Ну вот и заплатил скупой, нанявший безразличного, даже не дважды, а на два порядка, как минимум.