knacken kann man alles. Das Zauberwort heisst hier Bruteforce.
Darum sollte man auch den Server absichern. Also z.B. nach dem dritten Versuch den Zugang für diese IP Adresse sperren oder nach x Versuchen den kompletten Account sperren.