Ну как у нас обычно дефейсят?
Ли бо админы хостинга - лохи. Либо хозяин сайта лопух. И пароль просто банально подобрали/спиздили