Sitede kullanıcı kayıt sistemi yoksa wp-admin ve wp-login sayfalarını eklenti ile farklı bir url ye taşıyın.
Siteyi sıfırdan kurmayıp önceki yedeği yüklüyorsanız wp-admin,wp-includes vb dosyalarını silip yeniden yükleyin.
Kullandığınız eklenti ve tema dosyalarını tek tek inceleyin içinde shell script varmı veya file upload açığı varmı.
Normal şartlarda hosting sağlayıcısında sıkıntı yoksa wordpressin güncel sürümlerinde zero day açığı yoksa girememeleri lazım.
Ya eklenti yada tema üzerinden giriyorlardır.
Ayrıca bazıları shell dosyalarını yayıyor benim hostladığım bir site crackli eklenti yüklemiş. Shell uploads kısmındaki resim klasörlerinin içine php dosyası yüklemişler, index.php ve diğer php lerin en başına shell kodu koymuşlar.