Microsoft-kontoalarm efter en VPN: hvad du skal tjekke

Sikkerhedsalarmer, der kommer lige efter en VPN-ændring, handler som regel om VPN'en, og det er netop derfor, de bliver afvist for hurtigt. Tunnelen ændrer den adresse, Microsoft forbinder med din session; den besvarer ikke det spørgsmål, alarmen stiller. Behandl meddelelsen som en kort gennemgang med to udfald i stedet for en dom, du skal feje væk. Ti minutters læsning slår både en skødesløs afvisning og en panisk nulstilling af adgangskoden.

Gennemgangen tager ti minutter og giver et af to udfald: du genkender hændelsen, eller du starter beskyttelsen af kontoen. Begge dele er bedre end at afvise meddelelsen.

Alarmen er et spørgsmål, ikke en dom

Personlige Microsoft-konti fører en oversigt over seneste aktivitet, der viser logins og andre sikkerhedsrelevante hændelser med et tidspunkt, en adresse, en enhed og en adgangsmetode. En VPN ændrer den adresse, tjenesten ser, og den geolokation, der knytter sig til adressen, kan flytte sig hundredvis af kilometer, uden at du flytter dig. Læs de fire felter som et sæt, fordi hvert felt indsnævrer betydningen af de andre. Det er også derfor, alarmen ikke i sig selv beviser noget.

Derfor er en kortnål i en ukendt by et fingerpeg snarere end en måling. Det er også derfor, at det beviser mindre, end det ser ud til, at du genkender VPN-udbyderens tilsyneladende placering: en rigtig indtrænger, der bruger den samme kommercielle udbyder, ville give en lignende nål. Adressen fortæller, hvilket netværk anmodningen brugte, ikke hvilken person der holdt enheden. Kun felterne for enhed og app begynder at besvare det.

Arbejds- og skolekonti er en helt anden gennemgang. Microsoft 365-konti styres af organisationens identitets- og adgangspolitik, så siden for seneste aktivitet på en personlig konto er ikke den rigtige konsol, og organisationens helpdesk er den rigtige kontakt.

Åbn oversigten fra en kendt adresse

Skriv selv kontoens webadresse, eller brug et bogmærke, du allerede stoler på. Godkend ikke gennem et link i alarmmailen, for det øjeblik, hvor du er tilbøjelig til at stole på en login-meddelelse, er det værste øjeblik at springe den regel over. Det er ikke en kommentar til den alarm, du modtog; det er en regel, der skal gælde for hver alarm, også de rigtige. Åbn konsollen fra en kendt adresse, så er resten af gennemgangen til at stole på.

Når du er inde, skal du åbne sikkerhedssektionen og visningen af seneste aktivitet og derefter udvide den hændelse, der udløste alarmen. Sammenlign fire felter samlet: tidspunkt, adresse, enhed og app eller adgangsmetode. Et tidspunkt, der passer, med en ukendt enhed er et andet fund end en ukendt adresse med din sædvanlige enhed.

Skriv sammenligningen ned, mens du går frem. Den beslutning, du er ved at træffe, afhænger af flere felter på én gang, og hukommelsen er et dårligt register, når den næste meddelelse kommer.

To svar, valgt ud fra felterne

Hvis hændelsen svarer til det, du gjorde, skal du bruge "det var mig"-knappen, hvor aktivitetsvisningen tilbyder den, og gennemføre enhver verifikation via det forløb, du startede. At genkende hændelsen betyder ikke, at kontoen aldrig var i fare. Det betyder, at netop denne meddelelse er forklaret, og at meddelelsen var det eneste, der bad om en beslutning. En ny placering eller enhed kan med rette udløse ekstra verifikation; det er systemet, der virker, ikke bevis for, at hver tunnelforbindelse skal låse kontoen.

Hvis hændelsen ikke svarer til det, eller du ikke kan afgøre det, skal du bruge "det var ikke mig"-forløbet eller den kontobeskyttelse, siden tilbyder, og derefter følge den gendannelse og sikkerhedsgennemgang, den starter. Skift adgangskode fra en enhed, du stoler på, gennemgå tilsluttede apps og sessioner, og hold gendannelsesoplysningerne opdaterede.

Godkend aldrig en autentificeringsmeddelelse, der kommer, mens du er i tvivl. At godkende en for at få notifikationen til at stoppe er netop, hvordan en kontogennemgang bliver til en overtagelse af kontoen.

Hvad oversigten ikke kan bevise

Siden med aktivitet er et resumé, ikke en fuldstændig revisionslog. En manglende post beviser ikke, at der ikke skete noget, og fraværet af en ukendt række er svagere bevis end tilstedeværelsen af en kendt. Behandl den som én kilde blandt flere.

Hvis oversigten er uklar, eller gendannelsesprocessen går i stå, skal du bruge udbyderens understøttede hjælpeforløb for konti i stedet for en opskrift fra et forum. Gendannelse af konto er netop det område, hvor improviserede trin gør permanent skade.

Når gennemgangen er færdig, og kontoen er bekræftet, skal du prøve postkassen igen via dens normale login-forløb og lade klienten synkronisere. Genstart af mailappen opdaterer lokal tilstand; den godkender ikke en hændelse, du ikke genkendte, og den erstatter ikke gennemgangen.

Den del, VPN'en faktisk forklarer

En VPN forklarer en ændret adresse, en ny by på kortet og en ny verifikationsmeddelelse. Den forklarer ikke en enhed, du aldrig har brugt, en app, du aldrig har tilsluttet, eller et login på et tidspunkt, hvor du sov. Adskil de to kategorier, før du beslutter, så bliver alarmen let at klassificere.

Den klassificering er hele færdigheden. Tunnelen er en sandsynlig forklaring på én kolonne af beviserne, ikke på dem alle.