Потому что крупные площадки не сразу появились с навороченным бекэндом.
А строились годами, а может и десятилетиями уже.
Нельзя просто так взять и выбросить старый код, данные и т.п.
Приходится соблюдать обратную совместимость всё-таки.
Опять же многие все-таки используют хеширование, но банальный перебор выдаст бОльшую часть паролей.
Которые в общей массе обычно 123456 и т.п. Посмотрите топ 100 паролей из любой слитой базы.
Так же в некоторых протоколах/софтинах нужны plaintext пароли.
Самый простой пример: авторизация на mail.ru с ящиком другого провайдера.
Тут кроме как хранить в открытую вариантов нет. Тоже самое с другими подключаемыми друг к другу сборщиками почты.
Ну и конечно что нельзя недооценивать человеческую глупость, не всегда разработчики думают/знают о безопасности.