Блокировка IP после нескольких неудачных попыток — классика, которая реально работает против автоматов, особенно если скинуть её на пару минут. Капча помогает от ботов, но для удобства пользователей она раздражает. Двухфакторка крутая, но не всегда просто впихнуть её в старую систему, да и на неё много не наловчишься. В итоге, самый простой и проверенный способ — ограничение по ошибкам на входе.