Usas algún CMS tipo Wordpress, Joomla, etc? estabas al día con las actualizaciones?
Es programación tuya, con algún framework quizás?
Usas windows y usas software piratilla?
Tienes un VPS/Dedicado o compartes hosting? por lo del FTP supongo que es compartido, no?
He visto cientos de casos de estos en un curro anterior mío... te comento mis impresiones: Así a bote pronto coincido con lo que dicen los foreros de que ha sido una SQLinjection, y probablemente con un CMS sin actualizar. Aunque no descartes tener algún troyano en el PC (espero que no uses windows). A nuestros clientes les decíamos más o menos lo siguiente:
1. Comunica a todos tus clientes ipso-facto que tu web ha sido comprometida y que han de cambiar sus passwords inmediatamente, SIEMPRE, nada de esperar al día siguiente. Si usaban el mismo password en otros sitios seguramente ya se encargarán ellos de cambiarlos.
2. Formatea el PC si usas windows y NUNCA instales software que no sea comprado. He visto muchos casos donde esto pasa con troyanos que vienen de regalo en soft piratilla, y usan keyloggers, o te pillan las credenciales del panel de control haciendo un dump de contraseñas guardadas en el navegador.
3. Lee esto
http://is.gd/9E2LFD. Consulta los logs de Apache (supongo que es el webserver que usas) y banea el rango de IP's desde la que se conecta. Si no tienes acceso al server, cuenta a tu host que te ha pasado y pídeles que baneen todo el rango de IP's de la red Tor, además de las iP's que hayas podido encontrar en los logs.
4. Revisa tu programación, o cambia de framework web, o si es un CMS comunícaselo a los desarrolladores para que te asistan a descubrir que URL estaban testeando (estará en los logs)
5. Envía a tomar x culo al juanker por el email que te ha dado.
6. Aprende protección básica de SQL injections y pasa escaneos periódicos con
http://sqlmap.org/ . Es la librería de sql injections que usa metasploit, te ayudará a estar protegido ante el 90% de estos ataques)
7. Siempre Hashea/Saltea los passwords de la db de usuarios
8. NUNCA guardes contraseñas críticas como la de un panel de control (CPanel, Plesk, Virtuamin o lo que sea) en el navegador web cuando te pregunte: recordar contraseña? Para recordar los passwords usa un gestor como keepass
http://keepass.info/No te preocupes, estas cosas pasan con frecuencia. Suerte.