Alerta de conta da Microsoft após uma VPN: o que verificar

Os alertas de segurança que chegam logo após uma mudança de VPN costumam dizer respeito à VPN, e é exatamente por isso que são descartados rápido demais. O túnel muda o endereço que a Microsoft associa à sua sessão; mas não responde à pergunta que o alerta faz. Trate o aviso como uma revisão curta com dois desfechos, não como um veredicto que se afasta com um gesto. Dez minutos de leitura valem mais do que tanto um descarte descuidado como uma redefinição de senha em pânico.

A revisão leva dez minutos e produz um de dois desfechos: você reconhece o evento ou inicia o processo de proteção da conta. Ambos são melhores do que descartar o aviso.

O alerta é uma pergunta, não um veredicto

As contas pessoais da Microsoft mantêm um registro de atividade recente que lista inícios de sessão e outros eventos relevantes para a segurança com uma hora, um endereço, um dispositivo e um método de acesso. Uma VPN muda o endereço que o serviço vê, e a geolocalização ligada a esse endereço pode deslocar-se centenas de quilômetros sem que você se mova. Leia os quatro campos como um conjunto, porque cada um estreita o significado dos outros. Por isso o alerta não prova nada por si só.

Por isso um alfinete no mapa numa cidade desconhecida é uma pista, e não uma medição. Por isso também reconhecer a localização aparente do provedor de VPN prova menos do que parece: um invasor real que usasse o mesmo provedor comercial produziria um alfinete semelhante. O endereço diz qual rede a solicitação usou, não qual pessoa segurava o dispositivo. Apenas os campos de dispositivo e aplicativo começam a responder a isso.

Contas de trabalho e escolares são uma revisão completamente diferente. As contas do Microsoft 365 são regidas pela política de identidade e acesso da organização, então a página de atividade da conta pessoal não é o console correto e o suporte da organização é o contato correto.

Abra o registro a partir de um endereço conhecido

Digite você mesmo o endereço do site da conta ou use um favorito em que já confie. Não se autentique por um link do e-mail de alerta, porque o momento em que você está propenso a confiar num pedido de início de sessão é o pior momento para abrir exceção a essa regra. Não é um comentário sobre o alerta que você recebeu; é uma regra que precisa valer para todo alerta, inclusive os verdadeiros. Abra o console a partir de um endereço conhecido e o resto da revisão é confiável.

Lá dentro, abra a seção de segurança e a visão de atividade recente e depois expanda o evento que provocou o alerta. Compare quatro campos em conjunto: hora, endereço, dispositivo e aplicativo ou método de acesso. Uma hora compatível com um dispositivo desconhecido é uma conclusão diferente de um endereço desconhecido com o seu dispositivo habitual.

Anote a comparação à medida que avança. A decisão que você está prestes a tomar depende de vários campos ao mesmo tempo, e a memória é um registro fraco quando chega o próximo aviso.

Duas respostas, escolhidas a partir dos campos

Se o evento corresponde ao que você fez, use o controle "fui eu" onde a visão de atividade o oferece e conclua qualquer verificação pelo fluxo que você iniciou. Reconhecer o evento não significa que a conta nunca esteve em risco. Significa que este aviso específico está explicado e que o aviso era a única coisa a pedir uma decisão. Um novo local ou dispositivo pode legitimamente acionar verificação adicional; isso é o sistema funcionando, não prova de que toda conexão por túnel deva bloquear a conta.

Se o evento não corresponde, ou você não consegue determinar, use o caminho "não fui eu" ou o controle de proteção da conta que a página oferece e depois siga a recuperação e a revisão de segurança que ele inicia. Troque a senha a partir de um dispositivo confiável, revise os aplicativos e as sessões conectados e mantenha as informações de recuperação atualizadas.

Nunca aprove um pedido de autenticador que chegue enquanto você estiver em dúvida. Aprovar um só para a notificação parar é exatamente como uma revisão de conta se transforma em tomada de conta.

O que o registro não pode provar

A página de atividade é um resumo, não um registro de auditoria completo. Uma entrada ausente não prova que nada aconteceu, e a ausência de uma linha desconhecida é evidência mais fraca do que a presença de uma conhecida. Trate-a como uma fonte entre várias.

Se o registro estiver pouco claro ou o processo de recuperação travar, use o caminho de ajuda com a conta que o provedor suporta em vez de uma receita de fórum. A recuperação de contas é justamente a área em que passos improvisados causam danos permanentes.

Quando a revisão terminar e a conta estiver confirmada, tente novamente a caixa de correio pelo fluxo normal de início de sessão e deixe o cliente sincronizar. Reiniciar o aplicativo de e-mail atualiza o estado local; não autoriza um evento que você não reconheceu e não substitui a revisão.

A parte que a VPN realmente explica

Uma VPN explica uma mudança de endereço, uma cidade nova no mapa e um novo pedido de verificação. Não explica um dispositivo que você nunca usou, um aplicativo que nunca conectou nem um início de sessão a uma hora em que dormia. Separe essas duas categorias antes de decidir, e o alerta fica fácil de classificar.

Essa classificação é toda a habilidade. O túnel é uma explicação plausível para uma coluna das evidências, não para todas.