FTP ye attığınız ve site içinde link vermediğiniz her hangi bir yeni dosyayıda bu siteler direk olarak çekiyor mu ?

Çekiyorsa hostunuz hacklenmiş olabilir veya zararlı yazılım yüklenmiş olabilir.

Sadece site üzerinde linklenen dosyaları alıyorlarsa birebir olarak Bot mantığıyla sürekli kontrol edip ekliyorlardır.
Under attack cloudflare işe yarayabilir fakat php ile yine bu geçilebiliyor. Captcha koysan bu sefer siteye giren olmaz.

Sitenizden çekilen veriye göre sitenize başkasının farketmeyeceği gizli bir zaralrı kod ile karşı atağa geçebilirsiniz bir ihtimal. Veirleri nasıl çektiklerine bağlı tabii.