连续收到 Apple ID 两步验证验证码短信, 攻击者怎么做到的, 图啥?

今天下午大约在 20 分钟内, 陆续收到 4 条 apple 发来的德语两步验证验证码短信, 是这样的

[ Apple ] Der Bestätigungscode für deine Apple-ID laute: 1234

间隔 3 到 10 分钟不等. 查看设备发现提示 apple id 因为安全原因被锁定, 需要解锁. 这个 apple id 开通了两步验证, 只用来在 app store 买东西, 设备绑定的 icloud 是另外一个邮箱.

这个 apple id 的邮箱是我专门申请用来注册重要 id 的, 只有几个信任的重要网站才会用这个邮箱注册 , 并且 apple id 用的是单独的密码, 所以我觉得同时泄露了 apple id 的邮箱和密码的可能性很小, 检查了 id 邮箱和安全邮箱也没有异常的提醒.

马上解锁完就顺手改了密码, 用的是密码管理器生成的 12 位强密码. 然而刚改完密码还不到一分钟, 就又收到一条德语的验证码短信, 然后 id 就又被锁了...

德语验证码和我后来改密码收到的验证码是同一个 apple 的号码发的, 加上 id 被 apple 锁定了, 应该是真的 apple 验证码短信, 并且很可能有人在尝试登陆. 当我刚改完一个随机生成的密码立刻又被锁, 所以很可能攻击者并没有得到我真实的密码? 不然这么神的技术也没必要死磕一个没钱的 id 吧. 想不明白的是, 至少在登陆流程里, 验证码只有在 id 密码都正确的情况下才会发送, 所以有谁知道攻击者如果没有密码是怎么做到的? 而且两步验证目前应该还无法攻破吧, 两步验证的提示也很明显, 反复尝试除了能导致 id 被锁, 图啥呢?