Una cuenta de usuario muestra actividad desde un país nuevo pero no hay ningún aviso de MFA fallido. ¿Cómo lo investigas?

Sospecha de tokens de sesión robados o de un proxy adversary in the middle antes que de un ataque a la contraseña. Saca los logs de inicio de sesión y compara IDs de sesión, IDs de dispositivo, user agents y reputación de IP contra la línea base de ese usuario. Un token reproducido suele mostrar un ID de sesión existente llegando desde una dirección nueva. Revoca los refresh tokens, fuerza una nueva autenticación y luego revisa reglas de bandeja de entrada, métodos MFA registrados y consentimientos de aplicaciones OAuth.

Sin MFA fallido y con una geografía nueva apunta a una sesión robada más que a una contraseña adivinada, así que voy directo a la telemetría de inicio de sesión. Comparo el identificador de sesión y el de dispositivo contra el historial del usuario: si el mismo ID de sesión aparece desde una dirección nueva con un user agent distinto, eso es un token reproducido, no un login nuevo. Compruebo si el acceso condicional llegó a evaluarse siquiera, y si el inicio de sesión original vino por un patrón de proxy consistente con un kit de phishing adversary in the middle. Aquí el orden de contención importa. Restablecer la contraseña no mata un refresh token existente, así que primero revoco sesiones y refresh tokens, luego restablezco y después exijo nueva autenticación en los dispositivos gestionados. Después cazo persistencia: reglas nuevas de bandeja de entrada, consentimientos OAuth añadidos, métodos MFA recién registrados, delegación de buzón. En el caso que me tocó, el atacante había añadido una regla que archivaba cualquier cosa con la palabra factura en una carpeta, y eso fue lo que delató el motivo de compromiso de correo corporativo.