Le htaccess ne protège pas réellement d'une attaque : la plupart du temps, les hackers utilisent les failles d'un script pour modifier des fichiers, les accès à la base, etc.
Les deux choses principales sont en premier lieu d'utiliser un VRAI mot de passe pour la connexion FTP (pas de nom présent dans le dictionnaire, ni de prénom, ni de date), et de mettre systématiquement à jour les scripts utilisés.