В РФ это была бы ст. 272 ч.1 УК - "Неправомерный доступ к охраняемой законом компьютерной информации, если это деяние повлекло (...) модификацию (...) компьютерной информации" - максимум двушечка, причём
по ст. 53(1) - не лишения свободы, а принудительных работ. Кроме этого, в гл. 8 "Обстоятельства, исключающие преступность деяния" есть ст. 41 "Обоснованный риск":
1. Не является преступлением причинение вреда охраняемым уголовным законом интересам при обоснованном риске для достижения общественно полезной цели.
2. Риск признается обоснованным, если указанная цель не могла быть достигнута не связанными с риском действиями (бездействием) и лицо, допустившее риск, предприняло достаточные меры для предотвращения вреда охраняемым уголовным законом интересам.
То есть, если он скажет "я им емейл отправил, в котором предупреждал о небезопасных паролях, а они его проигнорили" - это будет основание вообще не считать его действия преступлением.