Alerta de conta de Microsoft tras unha VPN: que revisar

Os alertas de seguridade que chegan xusto despois dun cambio de VPN adoitan referirse á VPN, e por iso mesmo descártanse demasiado rápido. O túnel cambia o enderezo que Microsoft asocia coa túa sesión; pero non responde á pregunta que formula o alerta. Trata o aviso como unha revisión breve con dous desenlaces, non como un veredicto que se aparta dun golpe. Dez minutos de lectura superan tanto un descarte descoidado como un restablecemento de contrasinal preso do pánico.

A revisión leva dez minutos e produce un de dous desenlaces: recoñeces o evento ou inicias o proceso de protección da conta. Ambos son mellores que descartar o aviso.

O alerta é unha pregunta, non un veredicto

As contas persoais de Microsoft manteñen un rexistro de actividade recente que enumera inicios de sesión e outros eventos relevantes para a seguridade cunha hora, un enderezo, un dispositivo e un método de acceso. Unha VPN cambia o enderezo que ve o servizo, e a xeolocalización asociada a ese enderezo pode desprazarse centos de quilómetros sen que ti te movas. Le os catro campos como un conxunto, porque cada un acouta o significado dos demais. Por iso o alerta non proba nada por si só.

Por iso un marcador no mapa dunha cidade descoñecida é unha pista e non unha medición. Por iso tamén recoñecer a localización aparente do provedor de VPN proba menos do que parece: un intruso real que usase o mesmo provedor comercial produciría un marcador similar. O enderezo dinos que rede usou a solicitude, non que persoa sostiña o dispositivo. Só os campos de dispositivo e aplicación comezan a responder a iso.

As contas de traballo e escolares son unha revisión completamente distinta. As contas de Microsoft 365 réxense pola política de identidade e acceso da organización, así que a páxina de actividade da conta persoal non é a consola correcta e o servizo de axuda da organización é o contacto correcto.

Abre o rexistro desde un enderezo coñecido

Escribe ti mesmo o enderezo do sitio da conta ou usa un marcador no que xa confíes. Non te autentiques mediante unha ligazón do correo do alerta, porque o momento en que estás predisposto a confiar nun aviso de inicio de sesión é o peor momento para saltar esa regra. Non é un comentario sobre o alerta que recibiches; é unha regra que debe valer para todo alerta, incluídos os auténticos. Abre a consola desde un enderezo coñecido e o resto da revisión será fiable.

Unha vez dentro, abre a sección de seguridade e a vista de actividade recente e despois desprega o evento que provocou o alerta. Compara catro campos á vez: hora, enderezo, dispositivo e aplicación ou método de acceso. Unha hora coincidente cun dispositivo descoñecido é un achado distinto dun enderezo descoñecido co teu dispositivo habitual.

Anota a comparación sobre a marcha. A decisión que vas tomar depende de varios campos á vez, e a memoria é un rexistro pobre cando chega o seguinte aviso.

Dúas respostas, escollidas segundo os campos

Se o evento coincide co que fixeches, usa o control «fun eu» onde a vista de actividade o ofreza e completa calquera verificación mediante o fluxo que iniciaste. Recoñecer o evento non significa que a conta nunca estivese en risco. Significa que este aviso concreto está explicado e que o aviso era o único que pedía unha decisión. Unha localización ou un dispositivo novos poden desencadear lexitimamente unha verificación adicional; iso é o sistema funcionando, non proba de que cada conexión por túnel deba bloquear a conta.

Se o evento non coincide, ou non podes determinalo, usa a ruta «non fun eu» ou o control de protección da conta que ofreza a páxina, e despois segue a recuperación e a revisión de seguridade que inicia. Cambia o contrasinal desde un dispositivo de confianza, revisa as aplicacións e sesións conectadas e mantén actualizada a información de recuperación.

Nunca aprobes un aviso de autenticador que chegue mentres dubidas. Aprobar un só para que a notificación se deteña é exactamente como unha revisión de conta se converte nunha toma de control da conta.

O que o rexistro non pode probar

A páxina de actividade é un resumo, non un rexistro de auditoría completo. Unha entrada ausente non proba que non ocorrese nada, e a ausencia dunha fila descoñecida é evidencia máis feble que a presenza dunha coñecida. Trátaa como unha fonte entre varias.

Se o rexistro non está claro ou o proceso de recuperación se atasca, usa a vía de axuda coa conta que o provedor admite en lugar dunha receita de foro. A recuperación de contas é xusto o terreo onde os pasos improvisados causan danos permanentes.

Cando a revisión remate e a conta estea confirmada, tenta de novo o buzón mediante o seu fluxo normal de inicio de sesión e deixa que o cliente se sincronice. Reiniciar a aplicación de correo refresca o estado local; non autoriza un evento que non recoñeciches e non substitúe a revisión.

A parte que a VPN si explica

Unha VPN explica un cambio de enderezo, unha cidade nova no mapa e un novo aviso de verificación. Non explica un dispositivo que nunca usaches, unha aplicación que nunca conectaches nin un inicio de sesión a unha hora na que durmías. Separa esas dúas categorías antes de decidir, e o alerta vólvese fácil de clasificar.

Esa clasificación é toda a habilidade. O túnel é unha explicación plausible para unha columna da evidencia, non para todas.