端末IDは何かの値のハッシュ(20bytesなのでSHA1?)だとドキュメントされているので、連番ではないですね。
160ビットのIDを総当たりで試すと秘密情報を得られてしまうサーバ、というだけでは脆弱ではないと思います。
(ログインID・パスワードの合計が40文字(0x80~0xffは除いて2倍)以下で運用しているのは脆弱か?と考えてみるといいと思います)

また、>200 さんの更にハッシュをかける案は、逆コンパイルできる状況なら無意味です。
(ななふぉの記事の画像がなんとなく .NET Reflector っぽいので、出来るんじゃないかと思ってますが、どうなんでしょう)

>202
IPv6の自動アドレスは当初MACアドレスを含んでいたのですが、それはよくないということで RFC3041 が出ましたよ。