Тогда несколько факторов совпало, от наличия SQL-инъекций и хеширования паролей без соли и до того, что пароль администратора за пару минут подобрали по словарю
Интересно, что из этого успели пофиксить за год