Ну так откуда база утекла поедположить можно, но то что это не массово, гоаорит не в пользу массовой утечки, а скорее локальному взлому вероятно самих пользователей
так ты с ним не ушел в личку и не выяснил всё-всё?) оок. давай думать. если ты возьмешь 100 целевых пользователей и сопоставишьми из базы за последний год (помолемся ктулху, чтобы логи хотя-бы за два месяца лежали), думаю шансы найти именно ту зловредную выгрузку достаточно высоки