Se isto está acontecendo na hospedagem compartilhada é sim (ao menos em parte) responsabilidade deles, mas se foi na VPS aí a responsabilidade é de vocês mesmos, pois a hospedagem não tem gestão do que está rodando na máquina.

E mesmo que não seja VPS, verifique as vulnerabilidades das suas aplicações, não se pode descuidar da segurança principalmente em ambientes compartilhados.

Já vi casos semelhantes por vulnerabilidades do wordpress, você estão usando ele? Se sim, verifique se está atualizado, cheque os plugins, troquem as senhas e há plugins que ajudam na segurança veja se fazem sentido na aplicação de vocês.

Se for VPS, tem que fazer o básico mesmo, rodar como non-root user, checagem de permissões, atualização das aplicações, firewall, atualizações SO...