没有发起操作却收到 Microsoft 验证码，应认真核对，但不能仅凭一条短信认定账号已经被盗。Microsoft 官方支持说明，可能是有人尝试访问账号，也可能是有人登录时误填了电话号码或邮箱。这里列的是可能原因，不是对某条消息的定论。
先确认是否对应自己刚才的操作
建议回顾是否在另一台自己的设备上登录、使用需要身份验证的功能，或仍有自己发起的页面正在等待代码。记录消息出现时间和当时的操作，而不是看到品牌名称就直接填写。
如果确认没有请求，不要把代码转发给声称“填错号码”的陌生人，也不要代他完成登录。你当前能收到短信，不等于有权访问消息涉及的账户。
不确定真假，从已知官网入口核对
Microsoft 官方建议，拿不准消息真伪时不要点击其中链接，可以在浏览器手动输入 account.microsoft.com 或 account.live.com 访问自己的账户。
应从自己确认过的入口核对账户信息与安全情况，不把短信附带的联系方式自动当作真实客服。Microsoft 也明确表示，不会主动联系用户提供未经请求的技术支持。
这些说明不代表收到任何带 Microsoft 名称的短信都安全，也不代表每一次验证码请求都造成了成功登录。判断自己的账号状态，需要查看实际账户信息和官方提示。
接码订单收到陌生消息，要分清归属
如果是在 RunSMS 订单中看到自己没有请求的短信，先对照所选服务、号码和有效订单，保留必要记录。不要为探查消息来源而尝试登录不属于自己的账号。
RunSMS 条款说明，号码可能曾被使用，并可能在订单或租期结束后重新分配。这是服务边界，不能据此确定某条短信一定来自号码历史，也不能据此推断号码同时分配给了其他人。
需要理解历史关联账号的访问边界，可参阅《接码号码提示已被注册怎么办？号码使用历史与处理边界》。本文不承诺当前 RunSMS 库存支持 Microsoft 某个具体流程，购买前仍需核对实际可选服务。
怎样整理反馈，而不泄露代码？
建议记录订单号、所选服务、发生时间、是否有自己发起的请求和消息中的提示类型。截图遮住验证码、完整账号与其他敏感信息，不公开完整短信内容。
目标账号是否存在异常，应通过目标平台的官方渠道确认；RunSMS 订单记录是否异常，则可按订单信息向平台反馈。两者需要分别核对，不能把其中一个渠道当成另一方的账号管理工具。
若短信带有陌生链接，可继续阅读《接码短信里的陌生链接要不要点？官方入口核验指南》。下方列出 Microsoft 官方支持、RunSMS 条款和相关站内文章。本文提供核验方向，不替具体消息作真伪或账号安全保证。