Это верно, но очень узкий кейс, от которого нет смысла защищаться. Если кто-то получил доступ к почте, то почему он не может самостоятельно отправить запрос на смену пароля со своим фингерпринтом?
В случае если сброс только по почте то нет если плюс смс то придётся ещё угнать телефон пользователя)