Sag mir, dass Du kein Backup hast, ohne mir zu sagen, dass Du kein Backup hast...
Ja, Wordpress-Instanzen werden manchmal von Angreifern übernommen. Z. B., wenn es Schwachstellen in WordPress selber oder in Plugins gibt, diese bekannt werden und Angreifer diese Schwachstellen ausnutzen können, weil sich die Betreiber nicht konsequent und zeitnah um Updates kümmern.