У меня было то же самое на старом сервере резервного копирования.
Все, что я могу сказать, это то, что он не связан с открытым, публичным портом mongodb. Сервер mongo работает только на локальном хосте, но не имеет пароля доступа (под FreeBSD 12).
Очевидно, что работа с общедоступным портом по умолчанию и без пароля - это только то, что есть, но это не ответ.
Единственные открытые порты на сервере - это SSH, 80/443 (работает под управлением Apache 2.4.x) и служба узлов на порту 3xxx, а также Mongo Express (также защищенный паролем).
Также установлен сервер MySQL без пароля, привязанный только к localhost, но он остался нетронутым.
Кажется более вероятным, что это уязвимость где-то еще, которая использует незащищенное локальное соединение с mongodb.
Защита паролем mongo может защитить базу данных, но не определяет точку доступа, что вызывает беспокойство.