Можно просто сделать смену почты только после подтверждения с телефона, если он привязан.
Тогда злоумышленник даже завладев почтой и логином, не сможет ничего сделать с персонажами.