как вариант бага может быть в плагинах wp, банальный брут. Доп. авторизацию поставьте еще на странице авторизации админа.