Aviso: não sou especialista em segurança ou neste tipo de ataque
Um modo que eu utilizo e que você pode utilizar também é bloquear o LOGIN/EMAIL após errar 5 vezes a senha.
O LOGIN/EMAIL só é desbloqueado após alterar a senha ( manda um link para o e-mail cadastrado p/ ele digitar uma nova senha )