Одно из самых частых — забывают закрыть доступ к конфигам и бэкапам, которые лежат просто в корне и доступны снаружи. Вот и получается, что весь движок вместе с паролями раздают просто так. Ну и ещё не вижу смысла заморачиваться с кастомной защитой, когда можно банально поставить плагин безопасности и настроить базовые вещи. Без такого минимум — риск постоянных проблем.