Ok, è importante capire da dove lo hanno fatto. Probabilmente FTP, diversamente in locale (difficile) oppure tramite servizi/software che consentono ciò (script; software; ecc.)
Se ad esempio passano per FTP, allora non ha nulla a che fare il sito (probabilmente, in prima istanza), potrebbero essere i tuoi "vicini" che ti sniffano la password in chiaro (se puoi usa SFTP) quando ti connetti![]()