Eftersom passwordet kom fra en læk og ikke bruteforcing eller lignende er det fuldstændig ligegyldigt hvor primitivt det var.

Som en af dem der sidder på den side der skal beskytte mod netop den slags vil jeg sige at det meste af fejlen ligger hos staten. En lille virksomhed vil altid mangle sikkerhed/procedurer, det må man forvente og planlægge omkring som en stor udbyder.
Ingen systemer overhovedet til at detektere uønsket adfærd/abnorme brugsmønstre. At det først blev opdaget da fakturaen blev sendt er jo helt gak-gak. Tænk hvis de blev faktureret halvårligt.. ikke at det betyder noget siden de tilsyneladende nåede at scrape hele databasen.