Siten her ne ise bilmiyorum ama SQL dan admin mailini değiştirip,parola sıfırlama atıp büyük ihtimal WP yada VB paneline girmiş.Bu kadar basit.Serverde açık varsa alınabilicek tek önlem config dosyasını base64 de şifrelemek..
Saygılar.
En saçma önlemi önerdin diyebilirim " Base 64" ile encode etmek
ioncube & zend önerilir.Onlarda artık decode ediliyor.