DB-only sızıntısı (attacker sadece veritabanını ele geçirdi): amaç bu durumda e-posta/telefonun geri-dönüştürülememesini sağlamak. Sunucu/Kod + DB sızıntısı (attacker hem DB hem sunucu kodunu ve konfigü dosyalarını aldı): burada server-side gizli anahtarlar (pepper/KMS) de ele geçirilebiliyorsa anonimlik daha zayıf. Kullanıcı kaynağının sızması (client-side): eğer client şifre/anahtarı kullanılarak şifreleme yapıldıysa, sunucu sızılsa bile veri koruma seviyesi artar.