Veja se tem algo no Cron do cPanel deste usuario, e vasculhe os arquivos dele procurando scripts php ou perl ( .pl ). Algum desses scripts deve estar gerando este consumo.

É simples, gere um backup da conta, termine ela do servidor e entregue um link com o backup para seu cliente.

ps: e se tiver política dos 30 dias, lembre-se de devolver o dinheiro.