「AppleIDアカウント復旧申請」で
パスワードを忘れて電話番号を解約してSMSが受信できない人でも、
Apple ID、登録電話番号、前のパスコード(暗号化の鍵なので、後からパスコードを変えてもダメ)
の3点セットを知ってるとパスワード再設定が可能なため、パスワードをいくら変えても乗っ取られる可能性があります。
ただし、Apple公式が許可するまでに何日かかかるのと、申請中にこちらがAppleアカウントにサインインすると申請が却下されます。
(もちろん、再申請は可能)
その間にApple IDそのものを変える(iCloudメールのユーザー名部分も変える)と防げます。