Falsche Cookies wie behandeln?

Steh gerade vor der Frage:
wenn user mit gefaktem Cookie reinkommt - also jemand "was versucht": soll ich das als falschen Loginversuch behandeln, oder einfach nur fallen lassen.
Und sollte ich das falsche Cookie löschen?

Wenn ich es als falschen Loginversuch sehen würde, dann wäre user via IP für x Minuten geblockt, wenn der WrongLoginCounter >= y ist.
Demnach müsste ich ja (wenn ich jetz kein Denkfehler hab) das Cookie löschen, weil der user nach x Seitenaufrufen geblockt werden würde.

Hoffe man versteht was ich will

ok, also Cookies in die Tonne und falscher Login +1
Das schöne ist, dass ich nur die logout-function ausführen muss, das ja dort Cookies bzw Sessions gelöscht werden =)