Formularz - metoda słownikowa

Witam.
Chciałbym zabezpieczyć swój formularz przed złamaniem hasła metodą słownikową. Znam takie sposoby:
a) ustawienie opóźnienia przy wprowadzeniu danych,
b) blokada konta po 3-krotnym błędnym podaniu danych logowania
c) po 3-krotnym błędnym podaniu danych logowania, wyświetlenie reCaptche.

Sposoby a) i b)  mnie nie satysfakcjonuje. Spróbowałem wykonać podpunkt c):
 

session_start();

	if(!isset($_SESSION['error']))
	{
		$_SESSION['i'] = 0;
		unset($_SESSION['recaptcha']);
	}
	else
	{
		$_SESSION['i'] = $_SESSION['i'] +1;
		if($_SESSION['i'] > 3)
		{
			$_SESSION['recaptcha'] = true;
		}
	}

I teraz rodzi się moje pytanie:
Czy hacker może czyścić zmienne sesyjne przy "każdym przebiegu pętli łamiącej", co skutkowałoby tym, że nigdy reCaptche się nie wyświetli? 
Czy jest coś takiego możliwe ? Jak się przed tym zabezpieczyć?
 

Z góry dziękuje za pomoc!
Pozdrawiam!