как вариант - попытались побрутить хеши паролей по словарю, если получилось - то отправили уведомление.
но с другой стороны - это означает, что они не используют bcrypt, что печально :<