Надо ли сообщать о найденной уязвимости?
в текстовик напишите и все.... они поймут...
Хех) Ну начнем с того что "Волков бояться...". 
Если захотят - найдут, даже не отправив им report c Вашей стороны.
Если все это делалось (как я полагаю - все-же попробовали пароль от админки?), с толком, и хотя-бы элементарным канальным шифрования подключения (смотря как еще взаимодействовали кроме ftp), а лучше в комплексе - аля vpn / vps / vds. 
Уж вряд ли думаю за баг репорт будут копаться...
Используйте тикеты на сайте/сайтах (электронную почту лучше сразу отбросить), другие контактные данные с начальством: icq/ IM/ skype/ номер телефона (фри смс с сайта оператора).
Ну и конечно если у них попахивает web dev'ом, то можно поискать Bug Tracking System, пускай даже будет только для team разрабов. Так сказать приятно удивите их )
А так просто сообщите и не паранойте, забугром такие повадки оценивают и благодарят не только словом.
В РФ же максимум - словом, и еще хорошо если добрым )) Но абузить Ваш IPшник никто не будет. По крайней мере серьезные компании..
Да и с "обратной стороны" вопрос уже обсуждалсяComments