Qualquer sistema poderia dizer que sua senha estava errada em milissegundos. Mas, para desencorajar ataques por tentativa e erro repetidos, é simplesmente uma boa prática de segurança retardar a resposta em sistemas de senha. Por quanto é uma decisão de design e vai variar de um sistema para outro.