hay sistemas de bots que estan todo el dia en eso, en los sistemas del trabajo tenemos servicios de chequeo de intentos y bloqueo en caso de varios errores consecutivos, sobretodo de IPs extranjeras
en microsoft no se si tienen sistemas asi, por lo mismo usan 2FA, y creo que se lo estaban...