È decisamente fastidioso se qualcuno decide di attivare ripetutamente la funzione “password dimenticata” a tuo nome… ma non possiamo bloccare l’utente dai reset della password basandoci su questo, perché impedire a qualcuno di effettuare un reset della password è anch’esso una forma di molestia. 
Credo che qui ci sia un limite di frequenza dell’ordine di più tentativi al minuto; puoi esaminare questo percorso del codice @riking e confermare che funzioni ancora correttamente? Potremmo aumentarlo, ma non potrebbe coprire in modo sicuro “un paio di volte al giorno”.
Inoltre, bannare un indirizzo IP tramite Amministratore, Log, IP filtrati dovrebbe impedire a quell’indirizzo IP di richiedere un reset della password, credo, e dovremmo anche verificare che funzioni come previsto @riking.