Apple iDとパスワードを不正に利用されて、Apple IDとして登録しているメールアドレスとパスワードを変更されてしまい、その新しいメールアドレスを知っていないと本人確認ができないというのは、ちょっと変な話だと思います。 確かに、そんなの本人が知っているはずがないですよね。 もう一度、その辺りの事情をAppleのサポートの方に説明してみては如何でしょうか?
また、こちらのサポート等も参考になると思います。 クレジットカードの情報をApple IDに登録していた場合は、カードの停止を行う必要があります。 また、Apple IDに2ファクタ認証を設定していない場合は、しておく方がより安全です。
→ 銀行、クレジットカード、デビットカードの明細に iTunes Store や App Store から覚えのない請求がある場合