Alerte de compte Microsoft après un VPN : ce qu'il faut vérifier

Les alertes de sécurité qui arrivent juste après un changement de VPN concernent généralement le VPN, et c'est précisément pour cela qu'elles sont écartées trop vite. Le tunnel modifie l'adresse que Microsoft associe à votre session ; il ne répond pas pour autant à la question que pose l'alerte. Traitez le message comme un examen bref à deux issues, et non comme un verdict qu'on balaie d'un revers de main. Dix minutes de lecture valent mieux qu'un rejet négligent comme qu'une réinitialisation de mot de passe paniquée.

L'examen prend dix minutes et débouche sur l'une de deux issues : vous reconnaissez l'événement, ou vous lancez la procédure de protection du compte. Les deux valent mieux que d'écarter le message.

L'alerte est une question, pas un verdict

Les comptes Microsoft personnels tiennent un historique d'activité récente qui énumère les connexions et d'autres événements liés à la sécurité avec une heure, une adresse, un appareil et une méthode d'accès. Un VPN modifie l'adresse que le service voit, et la géolocalisation attachée à cette adresse peut se déplacer de plusieurs centaines de kilomètres sans que vous bougiez. Lisez les quatre champs comme un ensemble, car chacun restreint le sens des autres. C'est aussi pourquoi l'alerte ne prouve rien à elle seule.

C'est pourquoi une épingle sur la carte dans une ville inconnue est un indice et non une mesure. C'est aussi pourquoi reconnaître la position apparente du fournisseur VPN prouve moins qu'il n'y paraît : un intrus réel utilisant le même fournisseur commercial produirait une épingle similaire. L'adresse vous dit quel réseau la requête a utilisé, pas quelle personne tenait l'appareil. Seuls les champs appareil et application commencent à répondre à cela.

Les comptes professionnels et scolaires relèvent d'un tout autre examen. Les comptes Microsoft 365 sont régis par la politique d'identité et d'accès de l'organisation, donc la page d'activité du compte personnel n'est pas la bonne console et le service d'assistance de l'organisation est le bon contact.

Ouvrez l'historique depuis une adresse connue

Saisissez vous-même l'adresse du site du compte ou utilisez un signet auquel vous faites déjà confiance. Ne vous authentifiez pas via un lien de l'e-mail d'alerte, car le moment où vous êtes enclin à faire confiance à une demande de connexion est le pire moment pour enfreindre cette règle. Ce n'est pas un commentaire sur l'alerte que vous avez reçue ; c'est une règle qui doit valoir pour chaque alerte, y compris les vraies. Ouvrez la console depuis une adresse connue et le reste de l'examen est fiable.

Une fois à l'intérieur, ouvrez la section de sécurité et la vue d'activité récente, puis dépliez l'événement à l'origine de l'alerte. Comparez quatre champs ensemble : heure, adresse, appareil et application ou méthode d'accès. Une heure concordante avec un appareil inconnu est un constat différent d'une adresse inconnue avec votre appareil habituel.

Notez la comparaison au fur et à mesure. La décision que vous allez prendre dépend de plusieurs champs à la fois, et la mémoire est un piètre registre quand le message suivant arrive.

Deux réponses, choisies d'après les champs

Si l'événement correspond à ce que vous avez fait, utilisez le contrôle « c'était moi » là où la vue d'activité le propose et terminez toute vérification via le parcours que vous avez lancé. Reconnaître l'événement ne signifie pas que le compte n'a jamais été en danger. Cela signifie que ce message précis est expliqué et que le message était la seule chose à demander une décision. Un nouvel emplacement ou appareil peut légitimement déclencher une vérification supplémentaire ; c'est le système qui fonctionne, non la preuve que chaque connexion par tunnel doit verrouiller le compte.

Si l'événement ne correspond pas, ou si vous ne pouvez pas trancher, utilisez le parcours « ce n'était pas moi » ou le contrôle de protection du compte proposé par la page, puis suivez la récupération et l'examen de sécurité qu'il déclenche. Changez le mot de passe depuis un appareil de confiance, passez en revue les applications et sessions connectées et tenez à jour les informations de récupération.

N'approuvez jamais une demande d'authentificateur qui arrive alors que vous avez un doute. En approuver une pour faire cesser la notification, c'est exactement ainsi qu'un examen de compte se transforme en prise de contrôle du compte.

Ce que l'historique ne peut pas prouver

La page d'activité est un résumé, pas un journal d'audit complet. Une entrée absente ne prouve pas que rien ne s'est produit, et l'absence d'une ligne inconnue est une preuve plus faible que la présence d'une ligne connue. Considérez-la comme une source parmi d'autres.

Si l'historique est peu clair ou si le processus de récupération s'enlise, empruntez le parcours d'aide au compte pris en charge par le fournisseur plutôt qu'une recette de forum. La récupération de compte est précisément le domaine où des étapes improvisées causent des dommages permanents.

Une fois l'examen terminé et le compte confirmé, réessayez la boîte aux lettres via son parcours de connexion habituel et laissez le client se synchroniser. Redémarrer l'application de messagerie rafraîchit l'état local ; cela n'autorise pas un événement que vous n'avez pas reconnu et ne remplace pas l'examen.

La part que le VPN explique réellement

Un VPN explique un changement d'adresse, une nouvelle ville sur la carte et une nouvelle demande de vérification. Il n'explique pas un appareil que vous n'avez jamais utilisé, une application que vous n'avez jamais connectée ni une connexion à une heure où vous dormiez. Séparez ces deux catégories avant de décider, et l'alerte devient facile à classer.

Cette classification, c'est tout le savoir-faire. Le tunnel est une explication plausible pour une colonne de preuves, pas pour toutes.