como vcs garantem que apenas 106, tiveram os dados expostos? 
infelizmente a preocupação com sistemas, foi deixada de lado ao contratarem pessoas sem qualificação onde qualquer pessoas, sem conhecimento minimo de tecnologia poderia apenas trocar o id do usuário na url e realizar a consulta dos dados de qualquer pessoa. Lastimável é saber que não foi uma ação de haker e sim ausência de segurança no desenvolvimento de soluções de ti ..
Eita querystring!