¿Cuál es el riesgo de que se desencadene un evento de correo electrónico ilimitado?

El uso de la función para "enviar correos electrónicos molestos a personas que no lo solicitaron" es un verdadero riesgo, como usted señala. Usted podría por ejemplo úselo en un competidor con la esperanza de que los receptores aleatorios comiencen a marcar el correo como correo no deseado, de modo que los filtros de correo no deseado se activen y comiencen a bloquear los correos electrónicos de sus competidores. Pero dejemos eso de lado y centrémonos en el aspecto del recurso.

Si desea agotar los recursos, debe concentrarse en la funcionalidad que realiza la mayor parte del trabajo pesado. Enviar un correo electrónico no es un trabajo duro. Otras cosas, como el inicio de sesión (hashes de cálculo), las búsquedas avanzadas o la generación de una gran cantidad de datos que no se pueden cobrar son: Es más probable que un atacante comience allí y pase a tareas que requieran menos recursos solo cuando están bloqueadas. El envío de un correo electrónico debe ser muy, muy bajo en la lista.

La única situación en la que podría pensar es si su proveedor de alojamiento tiene algunas reglas contra la cantidad de correos electrónicos al mes que puede enviar (el alojamiento compartido a menudo tiene muchas limitaciones de todo tipo).

(Esta respuesta se ha centrado en el lado del servidor. No estoy seguro de qué quiere decir con "lado del cliente" en este caso).