Falla de seguridad ASP/SQL

Hola,
Alguien sabe quizas sabe como resolver este problemita?. Resulta que he
programado una aplicacion en ASP-internet para acceder a una base datos en
Access. Uso algunas "Select" como esta:

xxx="select * from profesor where loginnamn='" & loginn & "' and lösenord='"
& losen & "'"

Para mi sorpresa, alguien me dijo que un alumno habia podido entrar a la
base de datos usando la expresion:

%' or '%' like '%

Tanto en Login: %' or '%' like '% como en Password: %' or '%' like '%
Saludos,
Luis