Serverdeki diğer sitelerden shell yoluyla geçiş yapıyor olabilirler yada configden ftp şifreni bulmuş olabilirler.