こちらの相談をお聞きした上で、ID やパスワードのセキュリティレベルはどうだったかという質問をしたら、ID が「admin」だったというお話をお聞きしました。
ですので、今回は恐らく高い確率で「ログイン画面から入ってこられている」と考えられると思います。ですので、まずは以下の対応をお勧めしました。
ログイン ID とパスワードを一意のセキュリティ的に推測しにくいものにする
バックアップの所在を確認する
WordPress をインストールし直す（バックドアなど設置されている可能性は排除できないので）
バックアップから復元をする
今回ご相談された方は、すでに上記の内容の方法で自身で対応をされており、この方法で間違っていなかったのかというご相談でした。
やはり、基本的なセキュリティ対策と何があっても良いようにバックアップの準備は大切ですね。