Escenario — el administrador que viajaba de verdad

Los inicios de sesión de la cuenta desde el país nuevo dejan ver desde qué equipo se hicieron. Compáralos con el de los inicios desde su país de siempre. Un administrador que viaja suele llevar su equipo de trabajo, y esa coincidencia es un dato distinto de la ubicación.

Un inicio de sesión desde el destino antes de que el avión haya llegado sería imposible. Compara la hora de llegada del viaje aprobado con la del primer inicio desde el país nuevo, ambas en UTC, y mide cuántos minutos completos pasaron.

Una de las alertas es un consentimiento de administrador a una aplicación. Cruza la auditoría con los tickets: busca el que describe exactamente esa aplicación y sus permisos, aprobado antes del consentimiento.

El viaje, el equipo, los tickets y la verificación por otro canal explican tres de las cuatro alertas. Una de ellas no encaja con nada de eso: otra dirección, otro país, ningún equipo conocido. Búscala y compara con lo que sí sucedió en la cuenta.

Tres alertas quedan explicadas por evidencia independiente de la cuenta: un viaje aprobado, un equipo administrado, tickets previos y una confirmación por otro canal. La cuarta fue de seis intentos fallidos, sin un solo éxito. La dirección pide una decisión, no una disculpa ni una alarma.