Wystarczy że używał to samo hasło w innym serwisie na który mógł być włam. Zazwyczaj adresy mailowe i haslo lub sam hash wycieka. On już dobrze wie jakie miał hasło i gdzie jeszcze stosował.Mogla być również sytuacja taka że ktoś wbił się na jego urządzenie i pobrał ciasteczko.