Ежемесячный отчет Google Search Console постороннему пользователю

ок, но в этом случае пользователь 2 должен был получить отчет с сайта 2, а он получил отчет с сайта 1, отправленный Гуглом, хотя ни до, ни после, и вообще никогда у пользователя 2 не было доступа к сайту 1. 

у пользователей 1 и 2 были отдельные аккаунты в GSC на сайтах, у 2-го в ходе работ над сайтом был снесен код верификации GSC, то есть, он вообще не должен был никаких отчетов получать. Но он получил, причем отчет, который касался сайта пользователя 1. Это вообще два разных человека, которые даже не знакомы друг с другом и у них никогда не было доступа  к GSC друг друга. 

занчит вы гдето когда то добавляли его на сайт 1 , что же тут криминального , ищите в пользователях

да и если честно какая разница ну получил и получил - главное что доступа нету

конечно, это была первая мысль, но в аккаунте никаких изменений не было, пользователи не добавлялись и не убирались, но отчет пришел, причем именно за конкретный месяц.