Solitamente no, a volte sono le aziende a offrirli, ma lo pubblicizzano alla grande.
Potresti anche ricevere un offerta di lavoro, oppure una denuncia.

Fossi in te gli manderei un email dicendo che hai trovato una vulnerabilità nel loro sito e che se interessati sei disposto a descrivergliela.