一位用户在找回被盗的微软账号后，意外发现了一个惊人的安全漏洞。即便设置了多重验证，攻击者仅需知道密码，就能在新设备上发起账号信息的强制更换流程，这让用户的诸多安全措施形同虚设，值得所有微软用户警惕。
智能速览
用户依靠苹果通行密钥功能，成功夺回了被盗的微软账号。
为防万一，用户添加了手机与验证器等多重安全验证。
测试发现，攻击者仅需密码即可在新设备上发起30天的账户回收流程。
该流程能绕过所有已设置的多重验证，直接替换安全邮箱。
此漏洞让微软账户的密码成为唯一的、也是最薄弱的防线。
用户提醒大家注意此风险，并希望微软能尽快修复。
精华内容
找回被盗账号只是开始，一次测试却揭开了更令人不安的真相：看似固若金汤的多重验证，在特定条件下竟能被轻易绕过，这让账户安全岌岌可危。
幸运的夺回
当发现自己的微软账号被盗后，夺回控制权的过程却出奇地顺利。由于此前登录时添加了苹果设备的通行密钥（即人脸ID登录），用户在iOS设备的浏览器上轻松进入了安全界面，并未受到盗号者设置的邮箱阻碍。
进入后台后，用户迅速删除了盗号者绑定的恶意邮箱，重新掌握了账户的主动权。这次经历凸显了通行密钥在紧急情况下作为独立安全凭证的重要价值，它绕过了传统的密码验证环节。
加固后的盲区
为了避免类似事件再次发生，用户对账户进行了全面的安全加固。考虑到日常不常查看邮箱，额外添加了手机号码作为验证方式，并启用了微软的 Authenticator 验证器，开启了严格的双重验证。
完成这些设置后，用户进行了常规登录测试，确认必须通过邮箱或手机验证码，再结合验证器批准，才能成功登录。一切看似万无一失，账户安全等级已提升至最高。
惊人的漏洞
然而，当用户尝试模拟攻击者的操作路径时，一个严重的安全漏洞暴露了出来。在另一台新设备上，当输入正确的密码后，用户并未选择接收手机或邮箱验证码，也没有使用验证器，而是选择了最后一个选项：“我没有任何这些验证选项”。
令人震惊的是，系统随即弹出了一个为期30天的安全信息更换流程。在输入一个新的外部邮箱地址后，系统竟成功受理了该请求。这意味着，攻击者只要知道密码，就能在30天后彻底接管账户。
失效的护盾
这个发现让之前所有努力都显得苍白无力。无论是手机验证、安全邮箱还是 Authenticator 验证器，在这个“我没有任何选项”的路径面前全部失效。这套精心构筑的多重验证护盾，被一个简单的逻辑漏洞轻易突破。
此机制使得账户安全的核心完全回归到了密码本身。一旦密码泄露，用户将面临账户被彻底劫持的巨大风险，期间没有任何有效的防御手段来阻止对方发起账户更换流程。
