だから悪意ある第三者が漏れたID使って変更フォームからパスワード変えたら乗っとり完了でしょうが。