Пароли видимо берут из открытой слитой базы
Эта база тогда должна иметь пароли не из одного источника, т.к. попыток то больше чем одна. А вообще, в нормальных сервисах по best practice пароли не должны находиться на серверах сервисов. Только хеш. А там воруй \ не воруй. Без толку.