Coloca um .htaccess que permita acesso a admin somente para ips nacionais. Na pior das hipóteses se ele fizer um pedido e se houver falha em seu script pelo menos não entra na admin.

 

Outra coisa importante é usar OATH Two Factor Authentication que é grátis e funciona perfeitamente.

 

Porem essa tentativa de hack ao que me parece ser, serve para fazer uma leitura da base de dados o que tudo isso que eu citei não ajudaria mas é sempre bom manter o máximo de proteção.

Essa matéria do @edvan no blog da Hostdime @Raphael Dias, ajuda muito. 

 

http://blog.hostdime.com.br/materias/tecnologia/seguranca-no-whmcs-por-edvan-sampaio-do-whmcs-blog-br/