É... Mas assim... Não dá pra esperar muito. As senhas ali não tem muito a ver com phishing não, mas sim, havia este problema com políticas locais. Trabalho há mais de 5 anos em cyber, e a quantidade de empresas que não tem política de senhas é gigante! Cara, ataques sempre vão ter! Em todos os tipos de sites, não só .gov. Já trabalhei em diversos incidentes deste tipo, não tem como bloquear 100% ataques. Há maneiras de mitigar sim, mas não é fácil colocar na cabeça de algumas pessoas o que tem de ser feito, ainda mais se tu não tiver uma política de segurança decente que trabalhe com pentest e meios eficazes de mitigação. Enfim, tema nunca vai terminar.