99 процентов случаев украден пароль к ftp трояном на компе разработчика, админа или просто человека который имеет доступ к сайту, смотрите в первую очередь логи фтп.
ещё один процент это дырки в старых движках
очень редко бывает целенаправленный взлом
недавно встретился на шаред хостинге godaddy с поломанным сервером, блочу все доступы на сайте все равно прописывают вирус, хостер наглухо отказывается давать ftp логи, по логам апача взлома через админку нет, движок вордпресса последний, все пароли поменяны, все файлы перезалиты с чистой копии. Вывод сломан хостер.