mt_rand() e rand() geram números pseudo-aleatórios, os números gerados por estas funções são previsíveis. Use openssl_random_pseudo_bytes():
<?php
function random($min, $max) {
$range = $min - $max;
if($range === 0) {
return $min;
}
$len = (int)(log($range, 2) / 8) + 1;
$num = hexdec(bin2hex(openssl_random_pseudo_bytes($len)));
return ($min + ($num % $range));
}