این امکان وجود داره. اگر طراح قبلی کدی مخفی (بک‌دور) توی سایت گذاشته باشه، می‌تونه پسوردهای جدید رو بگیره و ازشون سوءاستفاده کنه. اما اگر پسوردها هش شده باشن (که باید این‌طور باشه)، اون شخص فقط به پسوردهای هش‌شده دسترسی پیدا می‌کنه و نه پسورد خام. هش کردن، پسورد رو به یک رشته کد تبدیل می‌کنه که برگشت‌پذیر نیست و بدون داشتن پسورد اصلی قابل استفاده نیست. 

برای تشخیص این خرابکاری هم می‌تونی از ابزارهای امنیتی مثل افزونه‌های اسکن امنیتی وردپرس استفاده کنی یا از یک متخصص امنیت بخوای (یا توسط خودت) که کدهای سایت رو چک کنه و مطمئن بشه که هیچ بک‌دور یا کد مشکوکی وجود نداره.