Как такой может быть или взломали?

Еще получил такой письмо.

Взломали. Или установлены неверные права для зарегистрированных пользователей.

Да, это лом или ненастроенная безопасность. Для Wordpress  - обычное дело.
Надо хотя бы Wordfence установить и настроить, запретить регистрацию, максимально перекрыть админку (хоть двухфакторной идентификацией), посмотреть на дырки в плагинах  и используемых темах - в общем, комплексно перекрыть возможность для злоумышленников что-то делать в системе.

Всем спасибо! нашлось малинкий недоработка.