appleが乗っ取られた

乗っ取られたのはAppleではなく、Apple IDなんでは。

クレジットカード（設定しているなら）の使用を停止し、パスワードを取り戻し、２ファクタ認証を設定する必要がありそうですが、後回しでいいのですか。

入り方は例えば、フィッシングメールでIDとパスワードを教えてしまったとか。

乗っ取り後の対策はすでに完了しているので、パスワードが漏れた理由を考えたいということでしょうか。もしそうなら中々、難しいです。xy さんがお書きの他にはパスワードが推測しやすいとか。どこかと似たパスワードを使いまわしたとか。