API を介して確認なしにユーザーのメールアドレスを変更する

I would say this is a self inflicted wound at that point?