Самое больное — это когда админы ленятся обновлять движок или ставят админку на стандартный адрес. Плюс пароли типа «123456» — сразу открытую дверь хакерам. HTTPS и фильтрация вводимых данных — это не премия, а обязательный минимум для любого форума сейчас.