Acredito que dessa forma, o arquivo/informação vazada ainda estará em algum galho; Quiçá perdido, mas ainda acessível para terceiros/bots.
Respondendo a "Pergunta de leigo: mas num é só voltar o commit..." dentro da publicação VAZEI MEUS DADOS!! E AGORA?!? Veja como remover dados confidenciais commitados.
1