Примерно по такому принципу:
if (если пароль не верен) {
++$_SESSION[error];
}

if ($_SESSION[error] > 5) {
// Запрос на блокирование аккаунта
}