Prima di fare qualcosa, è bene che il proprietario del sito sistemi il rapporto con chi glielo ha fatto.
Non avendo un contratto, francamente, la situazione è a rischio.
Intanto bisognerebbe vedere a chi è intestato il dominio e se sulle pagine c'è un riferimento che identifica inequivocabilmente che il sito è di quella persona (per esempio Piva, codice fiscale ecc).
Poi ci sarà sicuramente un qualcosa per comprovare che il lavoro è stato pagato.
A quel punto, non prima di aver fatto un backup, dovrà essere il titolare a chiedere immediatamente l'accesso al suo sito, pena azioni legali.
Chiaro che io non conosco gli accordi che ci sono stati, magari non hanno ceduto niente ed il dominio è pure intestato a loro ed in quel caso è molto più difficile.