Так это всегда известно было, ещё при Дурове.

Все фотографии, в том числе удалённые, в том числе из подзамочных альбомов всегда были доступны по прямым ссылкам без всякой авторизации.

Кроме того, все пароли как минимум до 2012 года, а может и сейчас, там хранились в открытом виде, и любой, кто получил к ним доступ (а они тогда и утекли), получал доступ к аккаунтам на всех ресурсах под тем же паролем, ну там e-mail, банки и т.п.