Comment puis-je savoir comment mon VPS a été pénétré ?

Les tentatives d'authentification SSH sont généralement stockées dans le fichier /var/log/auth.log. Il pourrait donc y avoir quelque chose d'utile là-dedans si l'attaquant a obtenu un accès via SSH.

Le plus probable est qu'il s'agit d'une vulnérabilité dans l'une de vos applications web qui a permis à l'attaquant d'y accéder. Vous ne mentionnez pas la pile de serveurs web que vous utilisez, ni les types d'applications que vous exécutez, il est donc difficile d'être précis. Mais en général, vous devriez passer au peigne fin les journaux du serveur web et rechercher les entrées suspectes.

Et si vous utilisez des logiciels comme WordPress, vous devez vous assurer qu'ils sont à jour et mettre à jour tous les plugins. Dans le cas de WordPress, c'est souvent un plugin mal écrit qui permet à l'attaquant de prendre le contrôle de votre serveur.