誰かがあなたの代わりに「パスワードを忘れた」を繰り返しトリガーするのは確かに迷惑ですが、パスワードリセットからユーザーをロックアウトすることは、それ自体が一種の荒らし行為でもあるため、それに基づいてロックアウトすることはできません。
ここには1分間に数回というオーダーのレートリミットがかかっていると思いますが、このコードパスを確認して、まだ機能しているか確認してもらえますか @riking？これを増やすこともできますが、「1日に数回」というレベルを安全にカバーすることはできません。
また、管理者権限で「Logs」→「Screened IPs」からIPアドレスを禁止すれば、そのIPアドレスからのパスワードリセット発行は防止できるはずです。これも期待通りに機能しているか確認をお願いします @riking。