Se il cliente ha la password dell'ftp, cambiala (ma questo mi pare ovvio)
C'è la possibilità che il cliente abbia scaricato tutto il sito usando un programma, e che lo ricarichi su internet una volta calmate le acque.
La cosa importante è non rifare lo stesso errore.