Intanto credo che sia fondamentale capire di che tipo di login si tratta.
Se il login lo deve poter fare una sola persona è una cosa, se invece devono poter loggare diverse persone da diversi computer allora il discorso è diverso.
Io intanto farei che se uno sbaglia l'username al secondo tentativo sbagliato viene bloccato per N minuti, così intanto blocchi i bot.
Ma ovviamente questa soluzione non va bene per i forum e gli accessi a siti in cui gli username sono pubblici.
Il captcha come soluzione lo eviterei, serve solo a dimostrare di essere una persona e non un bot.
