Uma conta de usuário mostra atividade de um país novo mas não houve nenhuma solicitação de MFA com falha. Como você investiga?

Suspeite de tokens de sessão roubados ou de um proxy adversário no meio, e não de um ataque de senha. Puxe os logs de sign in e compare IDs de sessão, IDs de dispositivo, user agents e reputação de IP com a baseline daquele usuário. Um token reproduzido normalmente mostra um ID de sessão existente chegando de um endereço novo. Revogue os refresh tokens, force reautenticação, e depois revise regras de caixa de entrada, métodos de MFA registrados e consentimentos de aplicações OAuth.

Nenhum MFA com falha somado a uma geografia nova aponta para uma sessão roubada e não para uma senha adivinhada, então eu vou direto para a telemetria de sign in. Eu comparo o identificador de sessão e o identificador de dispositivo com o histórico do usuário: se o mesmo ID de sessão aparece de um endereço novo com um user agent diferente, isso é um token reproduzido, não um login novo. Eu verifico se o acesso condicional sequer avaliou, e se o sign in original veio por um padrão de proxy compatível com um kit de phishing de adversário no meio. A ordem de contenção importa aqui. Resetar a senha não mata um refresh token existente, então eu revogo sessões e refresh tokens primeiro, depois reseto, depois exijo reautenticação em dispositivos gerenciados. Depois disso eu caço persistência: novas regras de caixa de entrada, consentimentos OAuth adicionados, métodos de MFA recém registrados, delegação de caixa de correio. No caso em que eu trabalhei, o atacante tinha adicionado uma regra arquivando qualquer coisa com a palavra fatura em uma pasta, o que foi o que entregou o motivo de fraude por comprometimento de e-mail corporativo.