Для явного повышения защиты можно сделать функцию аутентификатора.

(Для смены пароля аккаунта нужно будет ввести код из сообщения присланного на email/телефон).

Я не уверен что это рентабельно т.к. высылка сообщений на телефон обходится в копеечку.

Но зато защита аккаунта от кражи будет лучше в несколько раз.

+Можно сделать способ восстановления пароля с помощью аутентификатора.

Не у каждого остался старый емаил. Но хорошо, что мне Коля сменил старый емаил на новый. 

Обычно люди имеют один-два основных мыльца и имеют постоянный доступ к ним...

Так что я думаю что потеря пароля от мыла не самая большая беда...

Если есть аутентификатор к мылу :)