二段階認証が無効であれば、セキュリティーコードが求められるのは Microsoft アカウントのプライバシー情報やセキュリティー情報、支払い方法の確認・変更をしようとした場合ですね。なので自分でそのようなことを行っていないのであれば、パスワード認証は突破されている可能性があります。
パスワードを変更しても同様に身に覚えのないセキュリティー コードの送信が続くのであれば、PC 自体にバックドアがあるなどしてパスワードを継続的に盗み取られている可能性もありますね。
PC をネットワークから隔離した上で、初期化(再インストール、リカバリー)した方が良いかもしれません。またルーターなどのセキュリティー設定(管理者パスワードなど)も見直しましょう。