BBC har lagt fram bevis för att många av sina kunders routerbehörigheter har hackats, vilket sätter dem i riskzonen för datastöld.
Den brittiska bredbandsleverantören bekräftade att urvalet av stulna router-ID hade visat sig vara verkligt.
Men det är fortfarande råda användarna att det finns "inget behov" att ändra deras routers inställningar.
En cybersäkerhetsrådgivare till Europol sa att han var förvånad över beslutet.
"Om TalkTalk har bevis för att betydande antal lösenord är ute i det vilda, då åtminstone de bör råda sina kunder att ändra sina lösenord", sade University of Surreys Prof Alan Woodward.
"Att säga att de inte ser något behov av att göra det är uppriktigt sagt häpnadsväckande."
En talesman för TalkTalk sade att kunderna kunde ändra sina inställningar "om de vill" men tillade att hon trodde att det fanns "ingen risk för deras personliga information".
Hon hänvisade BBC till en annan säkerhetsexpert. Men när han blev tillfrågad, sade han också att företaget borde ändra sitt råd.
Risken för TalkTalks prenumeranter flaggades först under helgen av cybersäkerhetsforskare på Pen Test Partners.
De hade undersökt spridningen av en variant av Mirai masken, vilket fick flera tillverkare av routers att sluta fungera korrekt.
Under tester av en TalkTalk-modell upptäckte forskarna att den sårbarhet som masken utnyttjade också utnyttjades för att utföra en separat attack som tvingade routern att avslöja sitt wi-fi-lösenord.
Men TalkTalk spelade ner upptäckten, säger att det hade "inte sett något att bekräfta" att användarnas router referenser hade stulits.
Den sade också att den gjorde "goda framsteg" för att skydda sina routrar.
BBC kontaktades därefter av någon som sade att han hade tillgång till en databas med 57.000 router-ID som hade skrapats innan någon fix hade rullats ut.
Han avslöjade inte sin identitet, men gick med på att dela med sig av ett prov av de meriter som hade skördats.
Förteckningen innehöll uppgifter om cirka 100 routers inklusive:
Källan sade att han ville belysa problemet eftersom andra mer illvilliga aktörer kunde ha genomfört en liknande operation.
BBC vidarebefordrade detaljerna till TalkTalk.
"Listan som du skickade mig, Jag kan bekräfta att de är TalkTalk router ID", sade dess chef för företagskommunikation.
"Men vi har inte sett något som tyder på att det finns 57 000 där ute."
Hackare kunde inte använda referenser för att utföra en massattack på avstånd - men de kunde använda ID för att identifiera högt värde mål att resa till, eller de kunde helt enkelt köra genom gatorna jakt efter en match.
Prof Alan Woodward sa att när en hacker en gång var utanför en sårbar egendom, kunde de:
TalkTalks talesman hänvisade BBC till Steve Armstrong, en cybersäkerhetsinstruktör som hon sa skulle stödja det i frågan.
Han sade att risken för en enskild användare var relativt låg.
"Om du tittar på den genomsnittliga hemanvändaren och vad som finns i deras hemnätverk, som skulle utsättas för en angripare,... då finns det inte en hel del.
"Risken är förmodligen inte högre än att använda en [kaffebutiks] öppna wi-fi-nätverk."
Men han tillade att han fortfarande tyckte att TalkTalk gav fel råd.
"En del av min pushback till dem är att de bör säga till människor, "Du måste ändra ditt lösenord," sade han.
"För tillfället litar du på din heminfrastruktur, och som ett resultat av denna sårbarhet, som kanske inte är [säker]."
Andra har varit mer kritiska mot TalkTalks hantering av saken.
"Det gör en otjänst till den komplicerade debatten om säkerhet och integritet att ge ut råd om detta mode", säger Don Smith, teknikchef på Dell SecureWorks.
Pen Test Partners Ken Munro sade: "TalkTalk verkar flyga snabbt och löst med kundernas datasäkerhet, ännu en gång."
Företaget ålades böter på 400 000 pund förra månaden av informationschefens kontor för ett tidigare brott som ledde till stöld av nästan 157 000 kunders personuppgifter.
TalkTalk har totalt cirka fyra miljoner kunder.
TalkTalks tillvägagångssätt står i kontrast till Eirs, en irländsk internetleverantör vars routrar också har angripits.
Den berättade för BBC på tisdagen att den hade upptäckt "otillåten tillgång" till två Zyxel-märkta routrar som används av 2000 av sina kunder.
"Vi har inte någon indikation på att kunddata har förlorats eller kommit åt", sade en taleskvinna.
"Vårt starka råd till kunderna är att återställa sitt modem och, när detta är gjort, att ändra både modemadministrationslösenordet samt wi-fi-lösenordet."
TalkTalk bad att dess uttalande skulle citeras i sin helhet:
"Som är allmänt känt, Mirai masken är en branschfråga som påverkar många Internetleverantörer runt om i världen, och ett litet antal TalkTalk kunder har påverkats.
"Vi kan försäkra dessa kunder att det inte finns någon risk för deras personliga information som ett resultat av denna router problem och det finns ingen anledning för dem att återställa sin wi-fi lösenord.
"Men alla kunder med oro kan ta reda på hur man ändrar sitt wi-fi-lösenord på vår webbplats eller i deras ursprungliga router set up guide. Vi har gjort goda framsteg med att reparera drabbade routers, men alla kunder som fortfarande har några problem bör besöka vår hjälp webbplats där de kan hitta en guide som kommer att visa dem hur man återställer sin router.
"Alternativt kan de ringa oss och vi kan prata dem genom reparationsprocessen eller skicka dem en ny router."
University College Londons datasäkerhetsexpert Dr Steven Murdoch föreslog uttalandet var vilseledande.
"Jag tror att pressmeddelandet conflating Mirai masken med wi-fi lösenord läcka, och medan maskinfektionen behandlas för nu, mer arbete måste göras för att klara upp kompromissen av wi-fi lösenord," förklarade han.
"Jag tror att trots vad pressmeddelandet säger finns det en risk för personlig information."
TalkTalks hantering av ett wi-fi-lösenordsbrott kritiseras av flera cybersäkerhetsexperter.