Не думаю, что с 12 августа вопрос еще сохранил актуальность, но чисто для информации:
Да, компания ответственна за спам (если ограничиться этим и не вдаваться в анализ способа получения пароля): таковым является любая рассылка информации, производимая без предварительного согласия её получателя. Получатели никакого согласия не давали, а Вася не уполномочен выражать согласие или несогласие от лица всех своих контактов. Вася здесь вообще не субъект ответственности - он ничего не рассылал. А что касается статей, то это в основном ст. 18 ФЗ "О рекламе" и ст. 14.3 КоАП.