Im Prinzip richtig. Aber Brute Force lässt sich auh gegen mehrere Accounts/Karten durchführen. Bei einer 4-stelligen PIN hast Du 9999 Möglichkeiten. Wenn nach der dritten Falscheingabe bei einer Karte gesperrt wird, ist eine Karte relativ sicher.
Wenn Du die Daten von 1 Mio. Karten nimmst und dort jeweils 3 Nummern probieren kannst, ist das schon eine Hausnumer, wenn jede 3333te Karte geknackt wird.
Wenn Du bei Karten noch eine Physik dahinter hast, schützt das noch, weil der Täter auch 1 Mio. Karten dazu haben muss. Eine PIN-Abfrage auf einem WebService lässt sich jedoch schnell machen.
Bis denne.