回答編集履歴

  パスワードが漏れるのはDBであるとは限りません。サーバの至る所で漏洩元になる可能性があるのです。生のPWを送ってしまうと、サーバ側でハッシュする前の段階で、例えばアクセスログなどにPWを出力してしまうなどやらかしてしまうかもしれません。クラッカーはログファイルを入手すればいいわけです。

 

  たしかに、クライアントでハッシュ化しても、結局のところそれはPWと同等であって、セキュリティを確保するのには不十分なわけですが、ハッシュから元のパスワードが推測困難であれば、サーバからの漏洩が疑われたとしても少なくとも生PWを知らないわけですから漏洩元でないことを主張できるわけです。