"Дополнительная почтовая подписка" не учитывает принадлежность к группам - свежесозданный security-баг разошёлся по почте всем подписанным, втч и тем, у кого нет доступа в security group.
Отбой тревоги, security-баг разошёлся только избранным.