SMTP パスワードが平文で保存されていますか?

Jay が言った通り、誰かが app.yml にアクセスできれば、他にもっと深刻な問題が発生している可能性があります。つまり、その人物はおそらくサーバーの完全なルート権限、本番データベースへのアクセス権も持っているということです。

ここで最善の策は、サーバーのセキュリティを確実に確保することです。