Мне кажется, что СММщик не совсем понял вопрос про хэширование паролей и поэтому ответил что-то в сторону. Не верю я, что они не соблюдают таких базовых принципов, особенно учитывая рассказы про запрет на использование bluetooth перефирии после одной из последних утечек. А вот про регистр звучит правдоподобно, этим ещё фейсбук промышлял.