総当たり攻撃みたいな不正ログインに無防備なんで、
XML-RPCに不正ログイン対策機能を入れました。
ログインに失敗すると最大10秒間ブロックされます。

また、
DBアクセス回数を減らすために、
ログインに成功したらユーザー情報を10分間メモリに記憶することにしたんで、
パスワードを変更した場合最大10分間反映しません。


公式サイトのログイン機能の方もログインに失敗した端末のブロック機能入れると思います。