ウェブサイトのセキュリティについて質問です。

実例を知っているわけではないのでコメントで。

セキュリティー対策を2つに分けて考える必要があるように思います。
1つはセキュリティーシステムの契約、つまり企業が売りにしている技術の導入ですね。
もう1つはセキュリティ対策専門家との契約、技術者の社員雇用または派遣契約です。

前者ならシステム導入後のトラブルについて、
システムの先天的な欠陥によって損害が発生したのでもない限り、
責任を問うことはできないと思います。

後者ですと、技術者と直接社員契約を結んだなら、
なんらかのトラブルに見舞われたとしても、
それを防げなかったのは自社の社員の力不足によるものですので、
第三者に責任を転嫁する事はできません。

という事で、後者の派遣契約が残ったわけなのですが、これも前者と一緒で、
契約社員に明確な落ち度がない限り責任を問うのは難しいと思います。

セキュリティの脅威（クラッキング）は全て人為的なものです。
明確な悪意を持った誰か（クラッカー）が引き起こします。
論理的に解除不可能な暗号が無いのと同様、
部外者の侵入を完全に防げるシステムは存在しません。
セキュリティ突破を目論む外部からのアタックを放置していれば、
いつシステムに侵入されてもおかしくないわけです。
そういう怪しいアクセスを監視し遮断するのが技術者の仕事です。
（セキュリティエンジニアという職業があるらしいです）
もちろん1人の人が365日24時間体制で監視する事は不可能ですので、
万全を期したいのであれば、監視の穴ができない人数を配置しないといけない事でしょう。
費用をかけてそこまでの対策をし、
そのうえで損害を被ったなら派遣元に責任を負ってもらうという契約書を交わしたならば、
派遣元が補償しなければならないと思いますが、
そんな契約書にサインしてまで契約を取りたい企業は皆無だと思います。