Avviso sull'account Microsoft dopo una VPN: cosa controllare

Gli avvisi di sicurezza che arrivano subito dopo un cambio di VPN di solito riguardano proprio la VPN, ed è esattamente per questo che vengono liquidati troppo in fretta. Il tunnel cambia l'indirizzo che Microsoft associa alla tua sessione; non risponde però alla domanda che l'avviso pone. Tratta l'avviso come una breve verifica con due esiti, non come un verdetto da scacciare con un gesto. Dieci minuti di lettura battono sia un congedo distratto sia un ripristino della password dettato dal panico.

La verifica richiede dieci minuti e produce uno di due esiti: riconosci l'evento oppure avvii la procedura di protezione dell'account. Entrambi sono migliori che liquidare l'avviso.

L'avviso è una domanda, non un verdetto

Gli account personali Microsoft tengono un registro dell'attività recente che elenca accessi e altri eventi rilevanti per la sicurezza con un'ora, un indirizzo, un dispositivo e un metodo di accesso. Una VPN cambia l'indirizzo che il servizio vede, e la geolocalizzazione associata a quell'indirizzo può spostarsi di centinaia di chilometri senza che tu ti muova. Leggi i quattro campi come un insieme, perché ciascuno restringe il significato degli altri. Per questo l'avviso da solo non dimostra nulla.

Per questo un segnaposto sulla mappa in una città sconosciuta è un indizio e non una misurazione. Per questo anche riconoscere la posizione apparente del fornitore VPN dimostra meno di quanto sembri: un intruso reale che usasse lo stesso fornitore commerciale produrrebbe un segnaposto simile. L'indirizzo ti dice quale rete ha usato la richiesta, non quale persona teneva il dispositivo. Solo i campi del dispositivo e dell'app iniziano a rispondere a questo.

Gli account di lavoro e scolastici sono una verifica del tutto diversa. Gli account Microsoft 365 sono regolati dalla politica di identità e accesso dell'organizzazione, quindi la pagina dell'attività dell'account personale non è la console giusta e l'help desk dell'organizzazione è il contatto giusto.

Apri il registro da un indirizzo conosciuto

Digita tu stesso l'indirizzo del sito dell'account o usa un segnalibro di cui ti fidi già. Non autenticarti tramite un link nell'e-mail di avviso, perché il momento in cui sei portato a fidarti di una richiesta di accesso è il momento peggiore per saltare questa regola. Non è un commento sull'avviso che hai ricevuto; è una regola che deve valere per ogni avviso, compresi quelli veri. Apri la console da un indirizzo conosciuto e il resto della verifica è affidabile.

Una volta dentro, apri la sezione sicurezza e la vista dell'attività recente, poi espandi l'evento che ha causato l'avviso. Confronta quattro campi insieme: ora, indirizzo, dispositivo e app o metodo di accesso. Un'ora corrispondente con un dispositivo sconosciuto è un risultato diverso da un indirizzo sconosciuto con il tuo dispositivo abituale.

Annota il confronto man mano. La decisione che stai per prendere dipende da diversi campi insieme, e la memoria è un registro scarso quando arriva l'avviso successivo.

Due risposte, scelte dai campi

Se l'evento corrisponde a ciò che hai fatto, usa il controllo «sono stato io» dove la vista attività lo offre e completa ogni verifica tramite il flusso che hai avviato. Riconoscere l'evento non significa che l'account non sia mai stato a rischio. Significa che questo preciso avviso è spiegato e che l'avviso era l'unica cosa a chiedere una decisione. Una nuova posizione o un nuovo dispositivo può legittimamente attivare una verifica aggiuntiva; è il sistema che funziona, non la prova che ogni connessione tramite tunnel debba bloccare l'account.

Se l'evento non corrisponde, o non riesci a stabilirlo, usa il percorso «non sono stato io» o il controllo di protezione dell'account che la pagina offre, poi segui il ripristino e la verifica di sicurezza che avvia. Cambia la password da un dispositivo di cui ti fidi, rivedi le app e le sessioni collegate e mantieni aggiornate le informazioni di recupero.

Non approvare mai una richiesta dell'autenticatore che arriva mentre sei in dubbio. Approvarne una solo per far cessare la notifica è esattamente il modo in cui una verifica dell'account diventa una sottrazione dell'account.

Ciò che il registro non può provare

La pagina dell'attività è un riepilogo, non un registro di controllo completo. Una voce mancante non prova che non sia successo nulla, e l'assenza di una riga sconosciuta è un'evidenza più debole della presenza di una conosciuta. Trattala come una fonte tra le altre.

Se il registro non è chiaro o il processo di recupero si blocca, usa il percorso di aiuto per l'account supportato dal fornitore invece di una ricetta da forum. Il recupero dell'account è proprio l'area in cui passi improvvisati causano danni permanenti.

Quando la verifica è conclusa e l'account è confermato, riprova la casella di posta tramite il suo normale flusso di accesso e lascia che il client si sincronizzi. Riavviare l'app di posta aggiorna lo stato locale; non autorizza un evento che non hai riconosciuto e non sostituisce la verifica.

La parte che la VPN spiega davvero

Una VPN spiega un cambio di indirizzo, una città nuova sulla mappa e una nuova richiesta di verifica. Non spiega un dispositivo che non hai mai usato, un'app che non hai mai collegato né un accesso a un'ora in cui dormivi. Separa queste due categorie prima di decidere, e l'avviso diventa facile da classificare.

Quella classificazione è tutta l'abilità. Il tunnel è una spiegazione plausibile per una colonna delle prove, non per tutte.