Сложная капча снижает конверсию на сайте, причем могу сказать, что профессиональные боты её всё равно обходят. Мы у себя после похожей атаки перенастроили шлюз авторизации, проще всего оказалось подключить флеш-колл на сайте https://mobilgroup.ru/uslugi-flash-call.html для этих целей. У сервиса работает встроенная защита от частых запросов, а себестоимость входящего звонка копеечная. Этот вариант боту не обойти, а у обычных клиентов сложностей не возникает.