不正アクセス対策としては、まず、Appleアカウントのデバイスリストで心当たりのないデバイスのチェックした上でパスワードの変更です。この段階で、手元のすべてのデバイスで徹底すれば、変なことにはならなかったと思うのですが。その上で主要メールアドレスを変更するのなら、おっしゃるようなことにはならなかったと思うのですが。
現状では、iPadのAppleアカウントがどのようになってるのか分かりません。本来なら、主要メールアドレスを変えただけなら、Appleアカウント自体は変わらない筈なのですが。しかし、サインアウトもできないようでは、不正アクセスした輩の操作も絡んでおかしなことになってるのでは?現在、iPhoneでアップルアカウントのデバイスリストをチェックするとどうなってるのですか?心当たりのないデバイスがあるなら、削除した上でパスワードを変更しておくべきです。
iPadに関してはサインアウトもできないようなら、購入証明書を添えて、アップルにアクティベーションロックの解除を依頼するしかないのでは?
アクティベーションロックの解除方法 - Apple サポート (日本)
不正アクセスを受けたのなら、不正アクセスを受けた前のアカウントの対処をアップルに依頼することも必要ですし、信頼できる電話番号などのAppleアカウントの諸情報も変更されてないかチェックしておくべきです。
Apple Accountの不正利用が疑われる場合 - Apple サポート (日本)
不正アクセスを放置してて、そのアカウントが犯罪に利用されたりしたら、あなたも犯罪に加担してると思われかねないですよ。