Вот у нас та же история была, как с Фейнманом почти. Есть в нашем онлайн магазине такие аккаунты специальные с помощью которого ты можешь имперсонировать пользователя(для поддержки его в трудную минуту).
Понятно что они должны охраняться по всей строгости. Ну и вот коллега обнаружил, что у большинства этих суперпользователей пароль типа Password1 который видимо даётся по умолчанию. Обнаружил он это, поискав по базе где хранятся хэши от паролей.

Ну доложил наверх и оттуда конечно первейшая детектива пришла - найти у кого есть доступ к этой базе с хэшами и запретить!

А пароли так и оставались как были ещё чуть не пол года.