Если правильно понял, то пароль хранился в ЯНдексе и не вводился. Вот это и была одна из главных дыр