Если знаешь с какого ip юзер заходил на почту и знаешь пароль от почты, реально ip подменить что бы зайти с того же с какого он заходил, поскольку тогда проверку не запросит