И можно узнать какое имя пользователя использовалось?

Журнал регистрации же. Можно ещё тех журнал попробовать, событие conn

(1) в ЖР не пишет имени пользователя, первый заход под несуществующим, второй с неверным паролем, пишет <Неопределен>:
<img>https://yadi.sk/i/vXM9YCZPIv6pXQ</img>;

а в ТЖ будет?