@Stash a mí me han pasado hace un rato de un ex trabajo (sin full disclosure) un ejemplo de cómo pasan por GET (vamos, en la URL) una contraseña sin cifrar. Y en el nombre de la variable dejan bien claro que es una contraseña.