При смене пароля запоминать время последней смены пароля для конкретного юзера.
Если юзер попытается сменить пароль раньше, чем через сутки с момента последней смены его пароля - выдавать ошибку, что пароль был сменён менее суток назад и необходимо подождать.
Причём саму форму смены пароля можно при этом даже не выводить (чтобы юзер зря не пытался) а сразу выводить сообщение о невозможности смены пароля, но на стороне сервера всё равно проверять.