Nur zur kleinen Nebeninformation:
Man kann sich auch das Passwort zurücksetzen lassen via email.
Da er wohl nicht einfach die email ändern kann (muss glaub dazu extra zum mojang account werden), wirst du wohl noch die alte email drinne haben (wenn ich mich jetzt nicht täusche)
Also würde ich einfach mal das pw reseten lassen:
Und zum thema, wieso man Accounts hackt:
Ganz einfach, weil geschätzt ca. 10% aller Accounts (evtl sogar mehr) sehr unsichere Passwörter verwenden, dann ist es keine schwierigkeit mehr in den Account zu gelangen.
Generell würde ich jedem empfehlen, die Accounts zu Mojang Accounts zu machen (höhere Sicherheit, da hier beim Login sogar noch eine Sicherheitsfrage gestellt wird)
Ansonsten, ist er vllt nicht gehackt wurden, sondern du hast Tools verwendet, die
1) die Login daten wissen wollten
2) Mit Viren behaftet waren, die jetzt dein Passwort ausspioniert haben