Похоже на то, что хоть и телефон и почта были привязаны к странице, двухфакторная аутентификация не была включена (а зря).

И потом, если человек действительно сменил пароль, то все остальные сеансы должны были закрыться, в том числе и у злоумышленника. На всякий случай стоило их принудительно завершить через "Завершить все сеансы" - как тут на картинках, например: https://vhod.ru/vkontakte/kak/uznat-ip-adres-posmotret-aktivnost/ - тогда и повода для статьи бы не было.

Еще важная штука. Вероятно, пароль утек неким обманным путем, то есть человек ввел его где-то по ссылке, думая, что это ВК - а это не ВК. Если так, то могло быть и продолжение: уже после "взлома" открыли личку, а там еще одно сообщение якобы от "администрации" и со ссылкой - сходили туда и еще раз отдали свой пароль. Я ничего плохого не хочу сказать, просто люди ежедневно это делают, иначе эта схема уже сошла бы на нет.