Даже если сейчас не используют — потом могут. Много ещё маразма в нашем государстве, и сдача всяких отчётов, а также различные ключики на дискетах долго будут жить благодаря программистам в госконторах.
У владельцев уязвимого сайта может быть несколько магазинов. И если специалист найдёт уязвимость (с позволения владельца), мне кажется что и для других сайтов закажут
Хотя, пару ссылок я уже нашел.