OTP (токен) должен автоматически читаться из сообщения

Злоумышленник просто должен ввести что-то вроде 'foo@example.com"); DROP TABLE customer; в поле для email, и вы закончили.

Вы можете предотвратить это, используя правильное экранирование для JDBC-заявлений.