Проще говоря он сделал SQL инъекцию и она отработала. Может компанию тоже нужно наказать за такую говнополитику ИБ?

Если уже студенты с зачатками знаний сиквела качают базы - то очевидно что их выкачивали все до самого последнего негра из бронкса. Пусть бы проверили соответствуют ли ГОСТам их меры обеспечения защиты личных данных. Но на это мозгов у силовиков не хватит. Проще студента засадить.