Přesně tak. Navíc vůbec nemusí dojít k úniku hesla. Stačí když se někde vyskytne daná emailová adresa.
Např v úniku QIP: In mid-2011, to že QIP heslo vaší emailové schránky nikdy nevěděl, a že jste si ho od roku 2011 již pravděpodobně několikrát změnil je jedno, prostě jste Pwned a hotovo!