in diesem speziellen Fall bekommt das Script-Kiddie keine Daten zu sehen, sondern löst nur eine Mailzustellung aus, von der es nichts selbst mitbekommt - es sei denn, es verwendet genau den Parameter, den es selbst in der Werbemail mitgeteilt bekommen hat.
Wenn Du es einem Bot leicht machst, Deinen Server als Mailschleuder zu verwenden, dann hast Du potentiell ein Problem. Ob das dem Bot/Betreiber dabei irgendwie weiterbringt, ist dabei irrelevant.