こんにちは
ルールを強化しました。最悪の場合でも、ユーザーは1日に最大6回のリセットしか行えなくなります。これで、メールの件数をある程度制限できるはずです。
また、@riking さんのアドバイスに従い、スクリーニングされたメールアドレスを尊重するようにしました。つまり、管理者が特定の IP アドレスをブロックした場合、その IP アドレスはこの「パーティ」に参加できなくなります。
@riking さん、ここで見落としている大きな点があります。それは、「パスワードリセット」メールにリセットを要求した人の IP アドレスが含まれていないことです。これにより、自己対応が少し難しくなっています。
@codinghorror さん、パスワードリセットメールに要求者の IP アドレスを追加することについてどうお考えですか（少し隠すことも可能です）。これにより、自己対応が大幅に改善されるはずです。
Jane が攻撃を受ける
Jane はサイト管理者に「12.12.12.12 がパスワードをリセットし続けている」と報告する
管理者は 12.12.12.12 をブロックする
ユーザーは多数の IP アドレスにアクセスできるため、まだ猫とネズミのゲームの側面は残りますが、少なくとも以前よりはマシであり、制限も強化されています。
Facebook はこの手法を採用しており、私も導入に賛成です。
これにより、メールに IP アドレスを含める必要がなくなります。サーバー側で追跡し、リンクにはデータベース内の ID が含まれるだけです。つまり、悪用者をブロックする操作がワンクリックで済むようになります。
参考までに、Facebook はパスワードリセットにメールを必須としています（従来の意味でのパスワードリセット機能はなく、メール経由でのログインのみです）