推測だけど、依頼側は後で変更するつもりでSSHのPwを教えた → そこで容疑者は勝手に authorized_keys に自分の公開鍵を登録した、ということかな。Pw変えればOKと思いがちなのでこの報道には注意喚起の意味はあるかも。