É quase certo que seja falso. “Spam de segurança” é um grande problema. Mas responder a eles com “Oh, muito obrigado! Ficamos muito felizes que você tenha encontrado este sério problema. Por favor, relate-o ao Hacker One o mais rápido possível para obter o dinheiro que você tão legitimamente reserva.” é provavelmente como provar aos seus superiores que você está fazendo o seu trabalho, ao mesmo tempo em que cala os spammers.
Boa sorte.