"Actividad inusual" en varias cuentas de Microsoft

1

Como suscriptores de MSDN, todos los miembros de nuestro equipo de desarrollo deben tener una cuenta de Microsoft. Desde septiembre de 2016, estas cuentas de Microsoft se deshabilitan, temporal o permanentemente, sin la explicación de Microsoft. Para algunos de nosotros, las cuentas se habilitaron nuevamente después de confirmar nuestra identidad con nuestros teléfonos móviles. Para estas cuentas, la página de actividad muestra múltiples inicios de sesión exitosos desde una ubicación en Amsterdam. La primera vez que me sucedió, generé rápidamente una contraseña muy larga con KeePass y, durante un tiempo, los "inicios de sesión de Ámsterdam" desaparecieron. Ayer volví a ver uno de estos inicios de sesión y uno de mis compañeros de trabajo tuvo que probar su identidad para volver a tener acceso a su cuenta de Microsoft. ¿Estos inicios de sesión son "actividades inusuales" o hay un error en los sistemas de Microsoft? ¿Alguien puede descifrar una contraseña generada por KeePass con 245 bits (64 caracteres de longitud)? ¿Dónde deberíamos comenzar a investigar esta situación que está afectando grandemente nuestra productividad? [EDITAR] Me las arreglé para hacer coincidir una de las direcciones IP con el propietario. Vea la información de WhoIs abajo: WhoIs IP 40.68.25.96

NetRange: 40.64.0.0 - 40.71.255.255 CIDR: 40.64.0.0/13 NetName: MSFT NetHandle: NET-40-64-0-0-1 Padre: NET40 (NET-40-0-0-0-0) NetType: Asignación directa OriginAS:
Organización: Microsoft Corporation (MSFT) Fecha de registro: 2015-02-23 Actualizado: 2015-05-27 Ref: enlace

OrgName: Microsoft Corporation OrgId: MSFT Dirección: One Microsoft Way Ciudad: Redmond EstadoProv: WA Código Postal: 98052 País: nosotros Fecha de registro: 1998-07-09 Actualizado: 2017-01-28 Comentario: Para informar sobre presuntos problemas de seguridad específicos del tráfico que emana de los servicios en línea de Microsoft, incluida la distribución de contenido malicioso u otro material ilícito o ilegal a través de un servicio en línea de Microsoft, envíe los informes a: Comentario: * enlace .
Comentario:
Comentario: Para SPAM y otros problemas de abuso, como las cuentas de Microsoft, comuníquese con: Comentario: * [email protected].
Comentario:
Comentario: Para reportar vulnerabilidades de seguridad en productos y servicios de Microsoft, comuníquese con: Comentario: * [email protected].
Comentario:
Comentario: Para solicitudes legales y relacionadas con la aplicación de la ley, comuníquese con: Comentario: * [email protected] Comentario:
Comentario: para problemas de enrutamiento, peering o DNS, por favor Comentario: contacto: Comentario: * [email protected] Ref: enlace

OrgAbuseHandle: MAC74-ARIN OrgAbuseName: Microsoft Abuse Contact OrgAbusePhone: + 1-425-882-8080 OrgAbuseEmail: [email protected] OrgAbuseRef: enlace

OrgTechHandle: MRPD-ARIN OrgTechName: Microsoft Routing, Peering y DNS OrgTechPhone: + 1-425-882-8080 OrgTechEmail: [email protected] OrgTechRef: enlace

Ahora, ¿qué entiendo? ¿Microsoft está teniendo un problema de comunicación entre sus departamentos o Microsoft tiene un problema de seguridad y alguien está abusando de su red o alguien está utilizando Azure para descifrar las cuentas de Microsoft?

[EDITAR] He cambiado de nuevo la contraseña de mi cuenta y he habilitado la autenticación de dos factores. No he visto actividad inusual en los últimos 5 días. Tal vez esto ayude a otras personas también.

    
pregunta Dan 31.01.2017 - 12:07
fuente

2 respuestas

3

Lo más probable es que el atacante no esté descifrando la contraseña en sí, sino que probablemente la haga pasar por otros vectores. Algunas recomendaciones:

  • Comprueba si el correo electrónico de "recuperación de contraseña" no se modificó
  • Comprueba si las "Preguntas de seguridad" no se modificaron
  • Verifique su perfil y la configuración de seguridad, vea si ha cambiado algo
  • Ejecute un análisis antivirus completo para asegurarse de que no tenga malware en su computadora portátil
  • Realice verificaciones de la red (como ejecutar netstat en su computadora portátil o revisar los registros del firewall) para ver si alguien está extrayendo datos de su computadora portátil
  • Habilite la autenticación de dos factores en su cuenta de Microsoft, que probablemente detendrá el ataque.
respondido por el Ricardo Reimao 31.01.2017 - 12:17
fuente
2

¿Los usuarios en cuestión usan Skype? ¿O alguna vez han usado Skype en el pasado? Hay una pequeña puerta trasera en las cuentas de Microsoft donde puede iniciar sesión con su ID de Skype y contraseña. Que evita cualquier 2FA u otras medidas de seguridad en su cuenta.

enlace

enlace

    
respondido por el myron-semack 31.01.2017 - 18:53
fuente

Lea otras preguntas en las etiquetas