Estranho esse negócio de vazar usuário e senha.

Hoje as senhas não são salvas em formato de hash SHA 256 nos servidores para evitar que sejam expostas e nem a própria empresa sabe a senha porque o que o sistema faz é só comparar se hash obtido da senha fornecida está de acordo com o hash armazenado para conceder ou negar acesso?

Isso quer dizer que muitas empresas ainda armazenam as senhas em texto aberto ou criptografada e tem a chave roubada?

Existem empresas que, se você disse que esqueceu a senha, eles enviam a senha por email.