Onbekende MFA inlogpogingen

[langestefan]

Hoi,

Sinds een aantal weken krijg ik af en toe een MFA melding van Microsoft Authenticator die niet vanuit mij afkomstig is. Ik verander regelmatig mijn wachtwoord met een nieuwe automatisch gegenereerde string en ik heb mezelf afgemeld bij alle apparaten maar de meldingen blijven komen.

Als ik in deze lijst kijk: https://support.microsoft...b3-2bd6-9a56-a50177863357 staan er ook veel meldingen tussen uit US, Brazilië, Marokko etc.

Herkent iemand dit? Hoe kunnen ze een MFA triggeren zonder mijn wachtwoord? Is er wat aan te doen?

Misschien nog van belang maar het is nooit de ja/nee type MFA request maar altijd die waar je een cijfer in moet voeren. Ik denk daarom zelf dat het een password reset request is die de MFA triggert. Het is op zich niet een super groot probleem maar ik ben bang dat ik per ongeluk een keer op de verkeerde knop druk.

[ Voor 19% gewijzigd door langestefan op 04-07-2023 19:04 ]

[jeroen3]

Als de mfa triggert weten ze je wachtwoord.

[langestefan]

Dat kan dus niet, want die wijzig ik regelmatig en sowieso na elke MFA poging die ik niet herken.

[Zwelgje]

langestefan schreef op dinsdag 4 juli 2023 @ 19:33:
Dat kan dus niet, want die wijzig ik regelmatig en sowieso na elke MFA poging die ik niet herken.

kan natuurlijk wel dat er een keylogger actief is op je machine en dat ze op die manier altijd je wachtwoord weten.

how else, zoals gezegd: eerst username/password en aan pas een MFA prompt.

[langestefan]

Ik lees online dat een sync mail request ook een MFA triggert. De laatste MFA was ook een sync:

Automatische synchronisatie Verenigde Staten
Protocol: IMAP
IP: 98.170.57.249
Accountalias:
Tijd: 16 uur geleden
Locatie bij benadering: Verenigde Staten
Type: De synchronisatie is mislukt

Protocol: Exchange ActiveSync
IP: 141.98.85.146
Accountalias:
Tijd: Gisteren 10:53
Locatie bij benadering: Verenigde Staten
Type: De synchronisatie is mislukt

[Zwelgje]

langestefan schreef op dinsdag 4 juli 2023 @ 19:44:
Ik lees online dat een sync mail request ook een MFA triggert. De laatste MFA was ook een sync:

Automatische synchronisatie Verenigde Staten
Protocol: IMAP
IP: 98.170.57.249
Accountalias:
Tijd: 16 uur geleden
Locatie bij benadering: Verenigde Staten
Type: De synchronisatie is mislukt

Protocol: Exchange ActiveSync
IP: 141.98.85.146
Accountalias:
Tijd: Gisteren 10:53
Locatie bij benadering: Verenigde Staten
Type: De synchronisatie is mislukt

wellicht een 3rd party mail clients waar je je credentials hebt opgegeven en die nu namens jouw een sync wil doen?

[Angeloonie]

Ik had er van de week ook een via de MFA.
Als ik in de activity kijk zie ik 2 smaken:
- Session activity: Incorrect password entered
- Type: Unsuccessful sync

Toch maar goed blijven opletten, want denk niet dat je hier iets mee kunt.

[langestefan]

Zwelgje schreef op dinsdag 4 juli 2023 @ 19:47:
[...]


wellicht een 3rd party mail clients waar je je credentials hebt opgegeven en die nu namens jouw een sync wil doen?

Zou kunnen. Maar hoe kom je daar achter?

[langestefan]

Angeloonie schreef op dinsdag 4 juli 2023 @ 19:52:
Ik had er van de week ook een via de MFA.
Als ik in de activity kijk zie ik 2 smaken:
- Session activity: Incorrect password entered
- Type: Unsuccessful sync

Toch maar goed blijven opletten, want denk niet dat je hier iets mee kunt.

Hier dus ook. Werkelijk geen idee waar het vandaan komt.

[ralpje]

Weet je zeker dat het MFA is en geen passwordless auth request?
Als het daadwerkelijk MFA is, dan is er in ieder geval een sign-in geweest met kloppend wachtwoord, of er is inderdaad een bestaande sessie (sync ofzo) die herauthenticeert.

[langestefan]

Account zonder wachtwoord staat uit. Sessie zou kunnen, maar dat moet dan met een gelekt wachtwoord van jaren geleden zijn. Kan ik ergens vinden welke sessies er actief zijn? Ik heb sowieso ook alle apparaten uitgelogd. Wat een doolhof is die microsoft security portal trouwens zeg, heel lastig om dingen te vinden.

[biomass]

Ik dacht even dat het een backend probleem was bij Microsoft zelf, maar dat is niet zo.

Zegt dit je iets?
cox.com
TrafficTransitSolution LLC
Waarschijnlijk niet, maar je kunt natuurlijk een mailtje naar het abuse adres van cox.com sturen.
TrafficTransitSolutions LLC wordt gelinkt naar Russisch gedoe -> https://duckduckgo.com/?q...tsolution+llc&t=h_&ia=web

[ Voor 6% gewijzigd door biomass op 04-07-2023 20:24 ]

[langestefan]

biomass schreef op dinsdag 4 juli 2023 @ 20:17:
Ik dacht even dat het een backend probleem was bij Microsoft zelf, maar dat is niet zo.

Zegt dit je iets?
cox.com
TrafficTransitSolution LLC
Waarschijnlijk niet, maar je kunt natuurlijk een mailtje naar het abuse adres van cox.com sturen.
TrafficTransitSolutions LLC wordt gelinkt naar Russisch gedoe -> https://duckduckgo.com/?q...tsolution+llc&t=h_&ia=web

Nee, nooit van gehoord

Maar Cox lijkt een email client te zijn, dat lijkt dus wel overeen te komen met die sync request.

[biomass]

Ik dacht eerder een kabeltv boer, volgens wikipedia
https://duckduckgo.com/?t=h_&q=cox.com&ia=web
Wikipedia: Cox Communications

En volgens cox.com zelf is Nederlands IP verkeer stout, want hun homepage opvragen lukt mij niet

Dat maakt de kans dat ze gaan reageren op mail uit .nl op hun abuse adres al wat minder groot, maar niet nul. Hoop ik.

[ Voor 17% gewijzigd door biomass op 04-07-2023 20:32 ]

[langestefan]

Ohja klopt. Maar als ik daar op zoek vind ik ook een webmail client: https://www.cox.com/content/dam/cox/okta/mail.html

Denk dat dat net zoiets is als de mailbox van ziggo en KPN die veel mensen gebruiken.

Kan hem alleen niet openen met mijn VPN actief.

[ Voor 19% gewijzigd door langestefan op 04-07-2023 20:35 ]