C’est presque certainement bidon. Le « spam de sécurité » est un gros problème. Mais y répondre par « Oh, merci beaucoup ! Nous sommes très heureux que vous ayez trouvé ce problème grave. Veuillez le signaler à Hacker One dès que possible pour obtenir l’argent que vous réservez si justement. » est probablement la façon de prouver à vos supérieurs que vous faites votre travail tout en faisant taire les spammeurs.
Bonne chance.