Premessa:
Qualche tempo fa un mio amico ha creato un account di posta Microsoft (Live Id / Account Microsoft. Aveva solo bisogno della posta) da utilizzare per ricevere alcuni messaggi. L'account è stato creato e quindi non è stato utilizzato per alcuni giorni. Successivamente, quando l'accesso all'account è avvenuto di nuovo circa una settimana dopo, il sistema ha segnalato che l'account è stato sospeso perché sono state rilevate attività sospette. La pagina di sicurezza dell'account riportava un "tentativo di accesso riuscito" da un IP non riconosciuto circa 10 minuti dopo la creazione iniziale dell'account. La password dell'account era abbastanza strong e non condivisa con nessun altro account, il nome dell'account è stato scelto nel momento in cui l'account è stato creato e non poteva essere ragionevolmente noto ad altre persone, quindi l'unico modo in cui alcune terze parti potrebbero conoscere l'account le credenziali in meno di 10 minuti dalla creazione dell'account potevo pensare a un keylogger o un malware spia simile sulla macchina.
A questo punto il mio amico mi ha contattato per chiedere aiuto. Ho immediatamente cercato tracce di un'infezione o altri compromessi del sistema, ma non sono riuscito a trovare alcun segno di infezione sulla macchina, un computer basato su IMac / Osx. Nessuna app canaglia visibile, la configurazione del router sembra ok (avevo anche provato alcuni strumenti online come F-Secure Router Checker per verificare se vi fosse traccia di un dirottamento del dns router-lever). Poi ho notato che l'IP "sconosciuto" che si supponeva avesse accesso alla mail era 65.55.52.40 - un IP appartenente a Microsoft. Contattare il supporto del servizio non ha dato alcun risultato (nessuna meraviglia): alcuni dipendenti sembravano suggerire che il sistema potrebbe effettivamente causare falsi positivi provenienti da script di manutenzione interna, ma non è stata trovata alcuna documentazione ufficiale sul problema.
Quindi, per farla breve: Microsoft riporta che qualcuno ha utilizzato le credenziali corrette per accedere all'account, l'accesso è datato solo < 10 minuti dopo la creazione dell'account, quindi non c'è tempo per rinforzare l'account. O presumo che ci sia una specie di spyware sulla mia macchina amica e suggerisco una cancellazione completa O gli dico che probabilmente era un falso positivo (l'ip di Microsoft sembra suggerire così) e che probabilmente dovrebbe ignorarlo.
Ora mi sto chiedendo quali sarebbero le azioni migliori in tal caso.
NOTA LATERALE: Tecnicamente, un hacker che accede all'account potrebbe facilmente falsificare il suo IP in modo che appaia come Microsoft posseduto per cercare di nascondere la sua attività. Ma mi chiedo se una tale tecnica possa davvero funzionare: imho un simile comportamento sarebbe l'equivalente di cercare di ingannare una banca per dare accesso a qualcun altro account mentre presenta loro una carta d'identità falsa con il nome del dipendente di fronte a te stampato su .... spero che Microsoft sia almeno un po 'sospettosa quando riceve una richiesta via Internet da un PC remoto che dichiara di essere una macchina nella propria rete ...