(メールアドレス, 8桁のID, パスワード)の三つの要素で認証する、ということですよね。

Sorceryでは(ID, パスワード)の二つの要素で認証する思想になっていると思います。
以下の部分で、ID(コード上は`credentials[0]`です)をキーにして、認証に用いるレコードを取り出しています。
https://github.com/Sorcery/sorcery/blob/4e3fcdb8df16912424281322ce9f2862937846fc/lib/sorcery/adapters/active_record_adapter.rb#L61


Sorceryで何とかする場合は、<s>`Sorcery::Model::Config#before_authenticate`で認証処理前に(メールアドレス,8桁のID)の組み合わせが存在するかをチェックする、という方法が考えられます。

`before_authenticate`を使っている例は以下にあります。
https://github.com/Sorcery/sorcery/blob/4e3fcdb8df16912424281322ce9f2862937846fc/lib/sorcery/model/submodules/brute_force_protection.rb#L114
これは、Brute force protection サブモジュールのコードです。</s>

認証処理前に(メールアドレス,8桁のID)の組み合わせが存在するかをチェックする、ということになると思います。