Confirmar con los inicios de sesión

La alerta menciona una dirección, pero un extracto de registro puede tener más de un origen para la misma cuenta. La cuenta tiene un patrón conocido: sus inicios habituales salen de la oficina de Medellín. Busca el origen que no encaja con ese patrón.

Quien acierta una contraseña al primer intento suele tenerla ya. Quien falla varias veces seguidas desde un mismo origen y luego acierta suele estar probando. Cuenta solo los intentos con contraseña no válida contra la cuenta administrativa de la alerta, desde ese origen y antes del acierto; las filas de otras cuentas no cuentan.

En las filas de la madrugada el requisito de autenticación es de un solo factor, y el acceso condicional figura como no aplicado. Según el inventario, la cuenta debía tener segundo factor por una política. Lee las políticas y los miembros del grupo antes de elegir: hay una política que está en modo solo informe y otra que no.

Una exclusión de acceso condicional casi nunca es un solo caso: es un grupo que se reutiliza en varias políticas y al que se va añadiendo gente. Quien lo revise tiene que saber su nombre exacto y si tiene dueño de revisión.

Tienes el registro y tienes lo que dijo la dueña por teléfono. Un veredicto en esta fase se sostiene con las dos cosas juntas y debe poder defenderse ante quien pregunte por qué no fue un falso positivo, por ejemplo una VPN personal.