права 640 вроде стоят

Можно смело ставить 400:

Куда еще посмотреть по безопасности-то?

А на хостинге особо никуда и не посмотришь. Там админы должны следить, чтоб не было взломов и посторонних.

Ну, можно повключать на всех сайтах запись в файл логов доступа (access_log), логов ошибок (error_log), но это всё относится к веб-серверу. Не думаю, что кто-то таким образом файлы удалил, в access_log в основном будут GET запросы отображены, в error_log можно просмотреть записи типа "client denied by server configuration" - это когда через веб пытаются нащупать конфиги или дырки какие-нибудь на сайте.

Включите awstats, там можно подробности смотреть

Глюк хостинга может быть и, как следствие, утрата файлов. На этот случай есть возможность восстановиться из резервной копии (2 экземпляра, по-моему, хранится).

А пользователей ФТП не заводили случайно? Может кто-то пошалил или ваш пароль к ФТП украл?