Ну, на самом деле, не всё так просто с защитой формы логина. Да, капчи и HTTPS важны, но от них не зависит вся безопасность сайта. Многие забывают про банальную актуальность обновлений и правильную настройку сервера — это тоже критично. И да, 2FA классно, но если баз вообще дырявая, толку мало. В итоге, с одним набором мер, даже хороших, часто не обойтись.