Criptografia, Rub. É utilizar uma chave de encriptação cujo input dê uma autenticação que bata com a database também encriptada, de forma que mesmo se for interceptada, é virtualmente impossível de tu ver o "meio" (ou seja, a password em si).
No máximo, você enxergaria os dados encriptados, e isso não vale de nada pra hackeamento.
Melhor explicado aí:
http://en.wikipedia.org/wiki/Salt_(cryptography)Se injeções de SQL funcionam e upper/lowercasing não, é uma constatação de que no final das contas, a Blizz não encripta passwords, guardando-as e usando-as como arquivo de texto.
Um exemplo bobo de hash / salt é o tripcode do 4chan, que é uma senha que você coloca e é convertida em uma identificação única baseada na palavra.
Por exemplo, a palavra "lolrandom" vira "kqWjPusK3FE" segundo a encriptação do 4chan.
Imagine que no login de um jogo a chave de encriptação permite que você digite "lolrandom" e mesmo se hackearem o banco de dados, tudo que vão ver é "kqWjPusK3FE" (que será inútil pra logar). O caso da Blizz? Quem hackeia o BD deles vai ver claramente "lolrandom" como senha.
E se o banco de dados é texto puro... é um pulo pra um ataque de injeção de SQL, já que pra funfar a string feita precisa chegar intacta até o server onde o comando vai ser executado - no caso de uma encriptação, ele não o faria (pois mudaria em outros caracteres).