Ответ в теме: Что скрывается за термином «Скрипт-инжект»?

[Михаил Адвокат]

Согласен с Аружан Бьюти, но добавлю: проверяйте логи сервера на подозрительные запросы к файлам типа .js или .php — часто инжект прячется в них. У меня был случай, когда скрипт подменял метрики Google Analytics, и клиент даже не заметил, пока не увидел дикие скачки трафика из пустого ниоткуда. Защищайтесь: обновляйте CMS и используйте файерволлы.