Des utilisateurs frauduleux

Bonjour,

Je viens de reprendre le flambeau d'un site web associatif qui a été créé en 2005. Ce site est basé sur une ancienne version de PHPNUKE (datant de 2004 à première vue).
Très récemment, j'ai reçu un mail de mon hébergeur comme quoi la taille de ma base de donnée arrivait en limite.
En fouillant dans la base, je me suis aperçu que j'avais 8000 utilisateurs, inconnus bien sûr, alors que le site ne permet pas les inscriptions.
Je les ai supprimés.
En faisant un peu de maintenance hier, soit un mois après, je me suis aperçu, malgré quelques réglages effectués dans l'interface d'administration (spartiate d'ailleurs) que 3500 nouveaux utilisateurs étaient référencés dans la BDD.
J'ai remplacé le mot de passe de la BDD. Deux heures après, j'avais à nouveau une dizaine de nouveaux utilisateurs, souvent avec une adresse mail Hotmail.
Un whois sur une adresse IP m'a donné un résultat au canada alors que notre association de randonnée est française et locale uniquement.

Une idée ?