Alerta de cuenta de Microsoft tras una VPN: qué revisar

Las alertas de seguridad que llegan justo después de un cambio de VPN suelen referirse a la VPN, y por eso mismo se descartan demasiado rápido. El túnel cambia la dirección que Microsoft asocia con tu sesión; pero no responde a la pregunta que plantea la alerta. Trata el aviso como una revisión breve con dos desenlaces, no como un veredicto que se aparta de un manotazo. Diez minutos de lectura superan tanto un descarte descuidado como un restablecimiento de contraseña presa del pánico.

La revisión lleva diez minutos y produce uno de dos desenlaces: reconoces el evento o inicias el proceso de protección de la cuenta. Ambos son mejores que descartar el aviso.

La alerta es una pregunta, no un veredicto

Las cuentas personales de Microsoft llevan un registro de actividad reciente que enumera inicios de sesión y otros eventos relevantes para la seguridad con una hora, una dirección, un dispositivo y un método de acceso. Una VPN cambia la dirección que ve el servicio, y la geolocalización asociada a esa dirección puede desplazarse cientos de kilómetros sin que tú te muevas. Lee los cuatro campos como un conjunto, porque cada uno acota el significado de los demás. Por eso la alerta no prueba nada por sí sola.

Por eso un marcador en el mapa de una ciudad desconocida es una pista y no una medición. Por eso también reconocer la ubicación aparente del proveedor de VPN prueba menos de lo que parece: un intruso real que use el mismo proveedor comercial produciría un marcador similar. La dirección te dice qué red usó la solicitud, no qué persona sostenía el dispositivo. Solo los campos de dispositivo y aplicación empiezan a responder a eso.

Las cuentas de trabajo y escolares son una revisión completamente distinta. Las cuentas de Microsoft 365 se rigen por la política de identidad y acceso de la organización, así que la página de actividad de la cuenta personal no es la consola correcta y el servicio de ayuda de la organización es el contacto correcto.

Abre el registro desde una dirección conocida

Escribe tú mismo la dirección del sitio de la cuenta o usa un marcador en el que ya confíes. No te autentiques mediante un enlace del correo de la alerta, porque el momento en que estás predispuesto a confiar en un aviso de inicio de sesión es el peor momento para saltarte esa regla. No es un comentario sobre la alerta que recibiste; es una regla que debe valer para toda alerta, incluidas las auténticas. Abre la consola desde una dirección conocida y el resto de la revisión será fiable.

Una vez dentro, abre la sección de seguridad y la vista de actividad reciente, y luego despliega el evento que provocó la alerta. Compara cuatro campos a la vez: hora, dirección, dispositivo y aplicación o método de acceso. Una hora coincidente con un dispositivo desconocido es un hallazgo distinto de una dirección desconocida con tu dispositivo habitual.

Anota la comparación sobre la marcha. La decisión que vas a tomar depende de varios campos a la vez, y la memoria es un registro pobre cuando llega el siguiente aviso.

Dos respuestas, elegidas según los campos

Si el evento coincide con lo que hiciste, usa el control «fui yo» donde la vista de actividad lo ofrezca y completa cualquier verificación mediante el flujo que iniciaste. Reconocer el evento no significa que la cuenta nunca estuviera en riesgo. Significa que este aviso concreto está explicado y que el aviso era lo único que pedía una decisión. Una ubicación o un dispositivo nuevos pueden desencadenar legítimamente una verificación adicional; eso es el sistema funcionando, no prueba de que cada conexión por túnel deba bloquear la cuenta.

Si el evento no coincide, o no puedes determinarlo, usa la ruta «no fui yo» o el control de protección de la cuenta que ofrezca la página, y luego sigue la recuperación y la revisión de seguridad que inicia. Cambia la contraseña desde un dispositivo de confianza, revisa las aplicaciones y sesiones conectadas y mantén actualizada la información de recuperación.

Nunca apruebes un aviso de autenticador que llegue mientras dudas. Aprobar uno para que la notificación se detenga es exactamente cómo una revisión de cuenta se convierte en una toma de control de la cuenta.

Lo que el registro no puede probar

La página de actividad es un resumen, no un registro de auditoría completo. Una entrada ausente no prueba que no ocurriera nada, y la ausencia de una fila desconocida es evidencia más débil que la presencia de una conocida. Trátala como una fuente entre varias.

Si el registro no está claro o el proceso de recuperación se atasca, usa la vía de ayuda con la cuenta que el proveedor admite en lugar de una receta de foro. La recuperación de cuentas es justo el terreno donde los pasos improvisados causan daños permanentes.

Cuando la revisión haya terminado y la cuenta esté confirmada, vuelve a intentar el buzón mediante su flujo normal de inicio de sesión y deja que el cliente se sincronice. Reiniciar la aplicación de correo refresca el estado local; no autoriza un evento que no reconociste y no sustituye la revisión.

La parte que la VPN sí explica

Una VPN explica un cambio de dirección, una ciudad nueva en el mapa y un aviso de verificación reciente. No explica un dispositivo que nunca has usado, una aplicación que nunca has conectado ni un inicio de sesión a una hora en la que dormías. Separa esas dos categorías antes de decidir, y la alerta se vuelve fácil de clasificar.

Esa clasificación es toda la habilidad. El túnel es una explicación plausible para una columna de la evidencia, no para todas.