1) Добавить возможность включить капчу на странице входа.
2) Сделать ограничение на кол-во неудачных попыток входа с последующим блокированием IP-адреса на некоторое время.
3) Убрать вывод номера версии движка со страницы входа.
4) Блокирование по диапазонам IP (через .htaccess?)

Подробнее: http://opencartforum.ru/topic/1318-безопасность-админки/page__pid__14423