Definitivamente é irritante se alguém decidir acionar o ‘esqueci minha senha’ repetidamente em seu nome… mas não podemos bloquear o usuário de redefinições de senha com base nisso, pois bloquear alguém de redefinições de senha também é uma forma de assédio. 
Acredito que temos um limite de taxa aqui na ordem de múltiplas vezes por minuto; você pode revisar esse caminho de código @riking e confirmar que ainda está funcionando? Poderíamos aumentá-lo, mas isso não cobriria com segurança ‘algumas vezes por dia’.
Além disso, banir um endereço IP via Admin, Logs, Endereços IP Filtrados deve impedir que esse endereço IP solicite uma redefinição de senha, acredito, e também devemos verificar se isso está funcionando conforme o esperado @riking.