@marcheller: Wenn er das Land ZW löscht, nimmt der Bot einfach ein anderes
@gnarx: Hast Du die Chance, in den Server-Logs vom
Shop abzugleichen, ob die Anmeldungen alle von der gleichen IP-Adresse kommen?
Dann könnte man die IP schlimmstenfalls in der .htaccess blockieren. Müsste man natürlich vorher sicherstellen, wo die IP liegt - wär ja blöd, wenn man was von Telekom oder Vodafone etc. sperrt
Also, wenn Du die IP in den Logs identifizieren kannst: Auf jeden Fall ein whois machen und die Adresse auch mal bei
https://www.abuseipdb.com/ prüfen, ob die schon als Spamschleuder bekannt ist.