Das ist richtig.
Und abhängig von der verwendeten Hashfunktion, ist das ein Problem.
Hier fragt einer nach zwei Zeichenketten, die den selben MD5-Hash erzeugen; in den Antworten sind einige Beispiele genannt.