Credential stuffing
Подстановка утёкших пар логин — пароль с других сайтов. Не перебор, а проверка уже известных комбинаций: по одной попытке на аккаунт.
После каждой крупной утечки базы паролей появляются списки из миллионов пар «почта — пароль». Люди повторяют пароли, поэтому часть пар подойдёт к другим сайтам. Бот берёт список и пробует каждую пару один раз — на вашем сайте, в вашем личном кабинете.
От классического перебора это отличается тем, что с одного адреса может приходить одна-две попытки, а адресов — тысячи, из ботнета или с резидентных прокси. Лимит попыток на адрес здесь не спасает. Работают признаки клиента — библиотека вместо браузера, отсутствие обычных заголовков, одинаковый темп — и проверка браузера перед формой входа для подозрительных визитов.
Что с этим делать
Страницы о защите от того, что описано выше: как это выглядит на сайте и что делает BotBan.