Alerta de compte de Microsoft després d'una VPN: què cal revisar

Els avisos de seguretat que arriben just després d'un canvi de VPN solen referir-se a la VPN, i per això mateix es descarten massa de pressa. El túnel canvia l'adreça que Microsoft associa amb la teva sessió; però no respon la pregunta que planteja l'avís. Tracta l'avís com una revisió breu amb dos desenllaços, no com un veredicte que s'aparta d'un cop de mà. Deu minuts de lectura superen tant un descart descuidat com un restabliment de contrasenya pres del pànic.

La revisió dura deu minuts i produeix un de dos desenllaços: reconeixes l'esdeveniment o inicies el procés de protecció del compte. Tots dos són millors que descartar l'avís.

L'avís és una pregunta, no un veredicte

Els comptes personals de Microsoft mantenen un registre d'activitat recent que enumera inicis de sessió i altres esdeveniments rellevants per a la seguretat amb una hora, una adreça, un dispositiu i un mètode d'accés. Una VPN canvia l'adreça que veu el servei, i la geolocalització associada a aquesta adreça es pot desplaçar centenars de quilòmetres sense que tu et moguis. Llegeix els quatre camps com un conjunt, perquè cadascun acota el significat dels altres. Per això l'avís no prova res per si sol.

Per això un marcador al mapa d'una ciutat desconeguda és una pista i no una mesura. Per això també reconèixer la ubicació aparent del proveïdor de VPN prova menys del que sembla: un intrús real que fes servir el mateix proveïdor comercial produiria un marcador similar. L'adreça et diu quina xarxa va fer servir la sol·licitud, no quina persona sostenia el dispositiu. Només els camps de dispositiu i aplicació comencen a respondre això.

Els comptes de feina i escolars són una revisió completament diferent. Els comptes de Microsoft 365 es regeixen per la política d'identitat i accés de l'organització, així que la pàgina d'activitat del compte personal no és la consola correcta i el servei d'ajuda de l'organització és el contacte correcte.

Obre el registre des d'una adreça coneguda

Escriu tu mateix l'adreça del lloc del compte o fes servir un marcador en què ja confiïs. No t'autentiquis mitjançant un enllaç del correu de l'avís, perquè el moment en què estàs predisposat a confiar en un avís d'inici de sessió és el pitjor moment per saltar-te aquesta regla. No és un comentari sobre l'avís que has rebut; és una regla que ha de valer per a tot avís, inclosos els autèntics. Obre la consola des d'una adreça coneguda i la resta de la revisió serà fiable.

Un cop dins, obre la secció de seguretat i la vista d'activitat recent i després desplega l'esdeveniment que va provocar l'avís. Compara quatre camps alhora: hora, adreça, dispositiu i aplicació o mètode d'accés. Una hora coincident amb un dispositiu desconegut és una troballa diferent d'una adreça desconeguda amb el teu dispositiu habitual.

Anota la comparació sobre la marxa. La decisió que estàs a punt de prendre depèn de diversos camps alhora, i la memòria és un registre pobre quan arriba el següent avís.

Dues respostes, triades segons els camps

Si l'esdeveniment coincideix amb el que has fet, fes servir el control «he estat jo» on la vista d'activitat l'ofereixi i completa qualsevol verificació mitjançant el flux que has iniciat. Reconèixer l'esdeveniment no vol dir que el compte mai estigués en risc. Vol dir que aquest avís concret està explicat i que l'avís era l'única cosa que demanava una decisió. Una ubicació o un dispositiu nous poden desencadenar legítimament una verificació addicional; això és el sistema funcionant, no prova que cada connexió per túnel hagi de bloquejar el compte.

Si l'esdeveniment no coincideix, o no ho pots determinar, fes servir la ruta «no he estat jo» o el control de protecció del compte que ofereixi la pàgina, i després segueix la recuperació i la revisió de seguretat que inicia. Canvia la contrasenya des d'un dispositiu de confiança, revisa les aplicacions i sessions connectades i mantén actualitzada la informació de recuperació.

No aprovis mai un avís d'autenticador que arribi mentre dubtes. Aprovar-ne un només perquè la notificació s'aturi és exactament com una revisió de compte es converteix en una presa de control del compte.

Què no pot provar el registre

La pàgina d'activitat és un resum, no un registre d'auditoria complet. Una entrada absent no prova que no passés res, i l'absència d'una fila desconeguda és una evidència més feble que la presència d'una de coneguda. Tracta-la com una font entre diverses.

Si el registre no és clar o el procés de recuperació s'encalla, fes servir la via d'ajuda amb el compte que el proveïdor admet en lloc d'una recepta de fòrum. La recuperació de comptes és justament el terreny on els passos improvisats causen danys permanents.

Quan la revisió estigui feta i el compte confirmat, torna a provar la bústia mitjançant el seu flux normal d'inici de sessió i deixa que el client se sincronitzi. Reiniciar l'aplicació de correu refresca l'estat local; no autoritza un esdeveniment que no vas reconèixer i no substitueix la revisió.

La part que la VPN sí que explica

Una VPN explica un canvi d'adreça, una ciutat nova al mapa i un avís de verificació nou. No explica un dispositiu que mai has fet servir, una aplicació que mai has connectat ni un inici de sessió a una hora en què dormies. Separa aquestes dues categories abans de decidir, i l'avís es torna fàcil de classificar.

Aquesta classificació és tota l'habilitat. El túnel és una explicació plausible per a una columna de l'evidència, no per a totes.