Если работы, по которым сейчас возникают претензии (даже если на текущий момент вы - фрилансер), осуществлялись на основании гражданско-правового договора, то все вопросы сейчас должны решаться в том же порядке, как это устновлено договором и в той же форме - то есть как минимум письменно с указанием всех претензий и их обоснованием от конторы А. Телефонные звонки не канают, поэтому лучше просто прекратить с ними телефонные переговоры и переводить все в письменную фиксируемую форму.
Вероятнее всего, вас реально троллят: отдел "К" даже напрямую заявления не принимают, принимают их просто отделения ВД, невладение матчастью может быть индикатором того, что это просто крикуны. Но на всякий случай надо бы учитывать следующее:
- нет состава "неправомерный доступ к серверу", есть ответственность за неправомерный доступ к охраняемой законом информации. То есть им нужно будет доказать, что инфа охраняема в установленном порядке - например, был не просто договор, но либо в нем упоминание, либо к нему приложение о том, что вы уведомлены в конфиденциальном характере всех сведений и данных, полученных при исполнении договора, и что установлен какой-то особый порядок работы и последующей передачи данных. Если спец. статус инфы не установлен, либо установлен, но не нарушен - повода для участия отдела "К" нету;
- даже самая безумная заява может быть принята, и вне зависимости от ее бредовости придется давать объяснение. В них, до появления реального защитника, лучше не грузить проверяющего тех. деталями, а упирать на то, что дело проистекает из гражданско-правовых отношений, на которые органы судебно-правоохранительные влиять не должны;
- надо различать тот самый уже упомянутый в комментах долгий и дорогой суд и то, куда "пишут в отдел "К": процедуры разные. Но в обоих случаях принимается в качестве доказательств то, что предоставляет заявитель (хоть бы и те же логи), а вторая сторона, которая просто не успела первая пожаловаться - только опровергает. Так что, на всякий случай, просто сохраняйте все, что может пригодиться в опровержении их возможных доводов.

Не думаю, что с 12 августа вопрос еще сохранил актуальность, но чисто для информации:
Да, компания ответственна за спам (если ограничиться этим и не вдаваться в анализ способа получения пароля): таковым является любая рассылка информации, производимая без предварительного согласия её получателя. Получатели никакого согласия не давали, а Вася не уполномочен выражать согласие или несогласие от лица всех своих контактов. Вася здесь вообще не субъект ответственности - он ничего не рассылал. А что касается статей, то это в основном ст. 18 ФЗ "О рекламе" и ст. 14.3 КоАП.