Depois de ter sido atacado ele pode ter colhido informações importantes que permitem que ele faça a invasão por outros meios. Quando você tem um servidor invadido não é simples torná-lo seguro novamente. Se não conseguiu fazer eficazmente o que é simples, que é deixá-lo seguro inicialmente, agora vai ser bem mais difícil. Ele pode até estar fazendo isto por ter acesso direto ao servidor agora.
Um especialista em segurança (raro encontrar um realmente capacitado) poderia fazer uma análise nesse servidor para ver se existe algo que possa ser feito. Se preferir por conta própria, o melhor caminho provavelmente é começar um servidor novo com todos dados diferentes, especialmente senhas. Não vá copiar nada que estava no servidor comprometido. Se tiver mesmo que copiar algo, terá que fazer análise minuciosa do conteúdo. E senhas, esqueça, isso não pode ser aproveitado.
A privacidade já era. Isso nunca mais terá solução, uma vez perdida, não volta mais.
Fora isso, o código provavelmente ainda está vulnerável. Esses softwares fazem análises superficiais, não confie neles como uma solução definitiva. Se não conseguir achar todas as vulnerabilidades terá que contratar um especialista. E cuidado, muita gente vende o que não tem.
Lembre-se que agora o atacante provavelmente conhece seu código e sabe explorar qualquer falha, até aquelas que antes passavam desapercebidas.
Veja mais em Como acontece um SQL Injection?.
Coloquei no GitHub para referência futura.