-Vigila códigos extraños en tu plantilla
-No instales plugins innecesarios
-Protege el directorio de administrador con contraseña
-Usa urls amigables
-NUNCA uses el nombre de usuario por defecto (admin, administrator etc..)
-Cambia el prefijo de la base de datos

Y cambia tu contraseña, que esa ya se la sabrán.

Mi voto va para Wordpress 

Si tu no has pedido nada, mándalos a freír espárragos, o mejor, denuncialos.
Yo no se tú, pero me huele a fraude toda esta situación.