Правильно. 02:00 меньше 10:00. Условие не выполнится. Попробуй инвертировать логику. Используй не время работы бота с 10 утра до 02 ночи, а время неработы. С 02:01 до 09:59.
Если уж так надо, чтобы прямо без капчи, то можно попробовать что-то типа honeypot. То есть сделать скрытые поля, по которым так любят ходить боты. Если скрытое поле заполнено, то такое сообщение не отправлять. Ну и добавить ссылку в скрытом поле, и банить тех, кто по ней перешёл. И так далее, и тому подобное. А лучше наверно использовать invisible reCAPTCHA.
И я думаю, что для поиска логина, больше подойдёт метод findOne.