①管理者でログインできないか試行を繰り返す。（総当たり、辞書等を活用）
　⇒https://xxxxx.com/wp-login.php/　のような一般的なurlを避ける。
　　wordpressではサイトガードのようなプラグインも利用可能。
②FTPでのアクセスを試行する。（総当たり、辞書等を活用）
　⇒想定しやすいID（サイト名と同じとか）や単純なパスワード（123456や1qaz2wsx（キーボードの並び）にはしない）
　⇒単純なFTPではなく、SFTP等を利用することも有効です。（２段階認証も活用するとなお安心です。）
③問合せフォームに不正コードを書き込む（SQLインジェクション等）
　⇒https://xxxxx.com/contact/　のような一般的なurlを避ける。
　⇒フォーム自体で不正コードを投稿されても大丈夫な対策を事前に実施しておく必要があります。
　⇒wordpressではreCAPTCHAのようなサービスも利用可能です。
④アクセスログ、エラーログを定期的にチェックする。
　⇒契約しているレンタルサーバごとに置き場所は異なりますが、参照は可能なので
　　調べて、確認してみるとどれほど、どの国から、どのURLに、誰から（IPアドレス）アクセスがあるか分かります。
⑤サーバでの対策を実施する。
　⇒特定のIPアドレスから攻撃が多い場合は、そのIPアドレスを拒否する設定を実施する。
　⇒WAF（Webアプリケーションファイアウォール）の設置（または設定）
　　⇒レンタルサーバによって可能なものをあるのでそのサーバを選ぶ事も検討する。
　　　例：XSERVERのWAFでは下記の設定が可能です。
　　　　XSS　(クロスサイトスクリプティング)
　　　　SQL　(SQLインジェクション)
　　　　ファイル　(ファイル不正アクセス)
　　　　メール　(メールの不正送信)
　　　　コマンド　(コマンドアクセス／実行)
　　　　PHP　(PHP関数の脆弱性)

　ざっくりベースで書いてみましたが、脅威はどんどん拡大しています。
　下記のサイトでも最近の状況を紹介していますので、頻繁にチェックすることをお勧めします。
　IPA：情報セキュリティ10大脅威 2022
https://www.ipa.go.jp/security/vuln/10threats2022.html