メールやパスワードについては漏洩の可能性があるなら言っておかないと遅れれば遅れるほどバレたときのダメージが膨らむだけ
むしろ信用が地に落ちてる今だけがチャンス
どうせいくら犯人と交渉してもコピーまで消せないんだからバレる前に包み隠さず公表しなよ

簡単な話でアカウント管理してたDBが無事なら可能性なし、DBも暗号化されてたら可能性あり
そんだけの事、少なくとも犯人とのメールが流出した事でユーザは不安なんだからしっかり対処するべき