Ich bezweifle, dass diese Aussage korrekt ist. Ich erinnere hierbei gern an die guten alten HTTP-Authentication brute-force Attacken früherer Tage, als man eine Username/Password Kombination noch mit
http://<Username>:<Password>@<rest von der URI>
in die URL einbauen konnte. Dort waren Attacken auf Benutzernamen ebenfalls mit einbegriffen.
Das es dadurch natürlich wesentlich komplexer wird und wohl auch länger dauern wird steht mal außer Frage.