Ripetuti tentativi di accesso.

Question

Mi è arrivata una mail con un codice monouso che non ho mai richiesto. Andando a vedere su Attività recenti ci sono ripetuti tentativi di accesso al mio account di Microsoft a partire dal 21/01/2025 alle 02:26 (CET).

C'è modo di segnalare questa cosa e risolvere?

Answer 1

Grazie per le ulteriori informazioni.

Ho dimenticato una info. Il codice monouso non mi è arrivato sulla mail con cui faccio l'accesso ma sull'altra mail che appunto MS mi ha fatto mettere per eventuali problemi. Quindi qualcuno è riuscito ad "indovinare" l'altra mia mail

Stai parlando non di un alias ma di una email secondaria inserita come metodo di verifica/recupero, giusto? Comunque può essere. In caso di dubbi sulla legittimità della mail con il codice monouso puoi fare riferimento al seguente articolo: Possono essere considerate attendibili le e-mail provenienti dal team degli account Microsoft? - Supporto tecnico Microsoft

In esso è contenuto il dominio (la parte dell'indirizzo dopo la @) che Microsoft usa per comunicazioni relative alla sicurezza dell'account.

Per rispondere alla citazione,

• Innanzitutto ho immediatamente cambiato la pwd mettendone una complessa.
• Avevo già diversi metodi di accesso da diversi dispositivi.
• La verifica a due fattori credevo fosse già attiva (ovvero due fattori credevo intendesse codici di sicurezza mandati su due dispositivi diversi). Invece non l'ho era ma l'ho attivata

Ottimo.

La mail di accesso a MS/Xbox la volevo cambiare da tempo come ho detto, perché è vecchia e non so se potrebbe essere compromessa. Volevo crearne una nuova adibita solo ai servizi Xbox. In breve volevo praticamente "sostituire" l'indirizzo e-mail di riferimento dell'account con un nuovo indirizzo creato da zero cancellando la vecchia (e magari compromessa?) mail.

Proverò eventualmente cmq a contattare il supporto MS, grazie.

P.S: la cosa inquietante è che mi sta arrivando nello spam tentativo di phishing da false mail di supporto MS mentre parliamo.

Capisco. Il mio punto di vista diciamo tiene conto del fatto che in queste situazioni non si sa in primis come abbiano ottenuto l'indirizzo email per effettuare i tentativi di accesso (se sia stato trovato online, esposto come risultato di un data breach di un servizio a cui ti eri registrato, trovato dalla posta di un account che è stato hackerato ad una persona a cui in precedenza hai inviato/da cui ha ricevuto mail oppure ancora sia stato provato a caso e determinato che la mail esiste o altro) e quindi andare a sostituire il tuo indirizzo email con uno nuovo potrebbe o meno essere efficace (come potrebbe anche funzionare solo per qualche tempo, finché appunto l'indirizzo nuovo non viene scoperto a propria volta). Non è, pertanto, qualcosa che secondo me ha senso fare in tutte le situazioni, specie in prima battuta e se non si è raggiunto un particolare "livello di pericolo/disturbo tangibile" con questi tentativi.

Ad ogni modo, se alla fine decidessi di operare sugli alias, considera, come anticipato, che esistono due modi diversi di intervenire, che schematizzo di seguito:

• Conservare il precedente alias (attuale indirizzo email), creare un nuovo alias, rendere principale quest'ultimo; successivamente, modificare le preferenze di accesso per disabilitare - solo per l'accesso all'account - l'uso del precedente alias
  • disabilitando, esclusivamente per l'accesso, il precedente alias, al posto di rimuoverlo, esso non potrà più essere usato, immettendo l'indirizzo email che rappresenta, per tentare di accedere; continueresti comunque a ricevere (e poter inviare) posta da/verso altri indirizzi (così come continueresti a ricevere potenzialmente anche lo spam e i tentativi di phishing a cui accennavi, perché l'indirizzo è ancora noto... anche se per questo problema in generale penso che la protezione migliore spesso sia l'attenzione e diffidenza dell'utente).
• Creare un nuovo alias e renderlo alias principale; quindi, eliminare il precedente alias (attuale indirizzo email)
  • occorre essere davvero sicuri di voler eliminare il precedente alias perché questo non potrà più essere registrato, né come alias dell'account né come account "a sé stante" in futuro; perderesti la possibilità di inviare e ricevere mail da/verso l'indirizzo-alias che viene eliminato (se esso è un indirizzo email avente dominio Microsoft). Se si sceglie questa strada, è bene essere sicuri di aver prima modificato/spostato/aggiornato, laddove possibile, anche eventuali registrazioni in essere con altri servizi che hanno questo indirizzo-alias come riferimento attualmente.

Nota: in entrambi i casi, considera che, per evitare problemi con servizi Microsoft come la posta, sarebbe meglio che l'alias lo si crei come nuovo indirizzo email di dominio Microsoft (e non scegliendo di inserire un indirizzo email già esistente con un altro provider come alias). E, sempre in entrambi i casi, benché mi aspetti che operare sullo stesso account Microsoft non crei problemi in tal senso, non so dirti con certezza se una di queste operazioni possa impattare negativamente Xbox.

Buona giornata,

Alberto

Answer 2

Importante: sia che tu riceva suggerimenti qui sia altrove, non apportare alcuna modifica senza aver compreso esattamente quali passi seguire e quali siano le loro implicazioni. Vale in generale ma soprattutto quando si tratta di alias dell'account. (E, in ogni caso, non dovresti mai cancellare/eliminare un alias-indirizzo email Microsoft, a meno che l'intento non sia di eliminarlo/chiuderlo/perderlo per sempre, come anticipato).

Nella tua situazione, metterei in pratica quelle che sono considerate buone pratiche per aumentare la sicurezza dell'account. Quindi, oltre ad adottare una password complessa, mi accerterei semplicemente che all'account siano associati (e vengano costantemente tenuti aggiornati nel tempo) almeno due/tre metodi di verifica/recupero, come indicato nel precedente post, e - se questa condizione (imprescindibile per non perdere l'accesso ora ed in futuro) è soddisfatta - considererei di attivare la verifica in due passaggi, se non già attiva, per una sicurezza in più (e questa è una buona pratica diversa dall'abilitare l'accesso senza password). Genererei, visto che Microsoft la fornisce come possibilità, anche il codice di recupero specifico per quell'account Microsoft, da stampare e conservare in un luogo sicuro: Codice di ripristino dell'account Microsoft .

Queste sono azioni che aumentano la sicurezza dell'account e ne facilitano un eventuale recupero. Per inciso, continueresti, potenzialmente, a ricevere codici monouso ma senza, appunto, comunicare il codice un attaccante non può far nulla con quella strada. (Quindi se riuscisse ad entrare, non sarebbe grazie al codice o non solo grazie a quello - ad esempio, la password e/o uno dei tuoi metodi di verifica potrebbero essere compromessi). Non interverrei sugli alias.

Ad ogni modo, se volessi un parere da un operatore Microsoft sul tuo caso rispetto a questo, come detto, potresti contattare il supporto che, a differenza di quello che è possibile qui, può verificare lo stato del tuo account ed eventualmente consigliarti di intervenire anche su quell'aspetto o altri. Considera, comunque, che sono tantissimi i tentativi di accesso (verosimilmente da parte di sistemi automatizzati) che ogni giorno interessano i nostri account (non solo l'account Microsoft). Per come la vedo io, nella maggior parte dei casi, fintanto che gli accessi risultano non riusciti, hai metodi che facilitano un recupero dell'account, magari ancora meglio c'è anche attiva la verifica in due passaggi... e la tua esperienza non è interessata da cose come "blocchi" dovuti a questi tentativi, non adotterei misure ancora più invasive come quelle che interessano gli alias (che, peraltro, non possono pienamente garantire il cessare dei tentativi).

Ho dimenticato una info. Il codice monouso non mi è arrivato sulla mail con cui faccio l'accesso ma sull'altra mail che appunto MS mi ha fatto mettere per eventuali problemi. Quindi qualcuno è riuscito ad "indovinare" l'altra mia mail.

Per rispondere alla citazione,

• Innanzitutto ho immediatamente cambiato la pwd mettendone una complessa.
• Avevo già diversi metodi di accesso da diversi dispositivi.
• La verifica a due fattori credevo fosse già attiva (ovvero due fattori credevo intendesse codici di sicurezza mandati su due dispositivi diversi). Invece non l'ho era ma l'ho attivata

La mail di accesso a MS/Xbox la volevo cambiare da tempo come ho detto, perché è vecchia e non so se potrebbe essere compromessa. Volevo crearne una nuova adibita solo ai servizi Xbox. In breve volevo praticamente "sostituire" l'indirizzo e-mail di riferimento dell'account con un nuovo indirizzo creato da zero cancellando la vecchia (e magari compromessa?) mail.

Proverò eventualmente cmq a contattare il supporto MS, grazie.

P.S: la cosa inquietante è che mi sta arrivando nello spam tentativo di phishing da false mail di supporto MS mentre parliamo.

Answer 3

Ti ringrazio per la risposta esaustiva.

Di nulla, figurati.

Essendo utente Xbox avevo appunto paura di perdere l'account con tutta la libreria giochi e abbonamento Game Pass. Da tempo avevo appunto pensato di cambiare mail di riferimento per quanto riguarda Xbox creandone una nuova. Nelle impostazioni ho trovato ciò che dici ovvero creare una nuova mail outlook e impostarlo come "alias". Ho solo il timore appunto di perdere la libreria.

Quindi mi consigli di farlo ma senza cancellare la vecchia mail seppur magari compromessa? Perché era quello che stavo pensando di fare.

Importante: sia che tu riceva suggerimenti qui sia altrove, non apportare alcuna modifica senza aver compreso esattamente quali passi seguire e quali siano le loro implicazioni. Vale in generale ma soprattutto quando si tratta di alias dell'account. (E, in ogni caso, non dovresti mai cancellare/eliminare un alias-indirizzo email Microsoft, a meno che l'intento non sia di eliminarlo/chiuderlo/perderlo per sempre, come anticipato).

Non ho suggerito di apportare modifiche al tuo indirizzo email-alias. Ho consigliato, invece, di sottoporre il tuo caso al supporto Microsoft per confrontarti sulla situazione e ti ho "messo in guardia" rispetto alle implicazioni di un suggerimento che potresti ricevere. Personalmente, io sono dell'idea che, per quanto riguarda l'intervenire sugli alias, non sempre "i benefici superino i rischi" (ad esempio, di commettere degli errori irreversibili o altro). Per questo, tendo solo, come nel post precedente, a citare l'esistenza di questa possibilità e non a consigliarla indiscriminatamente e in via primaria a tutti.

(Inoltre, per quella che è la mia esperienza, personalmente non saprei dirti con certezza se apportare modifiche agli alias possa impattare negativamente lato Xbox).

Nella tua situazione, metterei in pratica quelle che sono considerate buone pratiche per aumentare la sicurezza dell'account. Quindi, oltre ad adottare una password complessa, mi accerterei semplicemente che all'account siano associati (e vengano costantemente tenuti aggiornati nel tempo) almeno due/tre metodi di verifica/recupero, come indicato nel precedente post, e - se questa condizione (imprescindibile per non perdere l'accesso ora ed in futuro) è soddisfatta - considererei di attivare la verifica in due passaggi, se non già attiva, per una sicurezza in più (e questa è una buona pratica diversa dall'abilitare l'accesso senza password). Genererei, visto che Microsoft la fornisce come possibilità, anche il codice di recupero specifico per quell'account Microsoft, da stampare e conservare in un luogo sicuro: Codice di ripristino dell'account Microsoft .

Queste sono azioni che aumentano la sicurezza dell'account e ne facilitano un eventuale recupero. Per inciso, continueresti, potenzialmente, a ricevere codici monouso ma senza, appunto, comunicare il codice un attaccante non può far nulla con quella strada. (Quindi se riuscisse ad entrare, non sarebbe grazie al codice o non solo grazie a quello - ad esempio, la password e/o uno dei tuoi metodi di verifica potrebbero essere compromessi). Non interverrei sugli alias.

Ad ogni modo, se volessi un parere da un operatore Microsoft sul tuo caso rispetto a questo, come detto, potresti contattare il supporto che, a differenza di quello che è possibile qui, può verificare lo stato del tuo account ed eventualmente consigliarti di intervenire anche su quell'aspetto o altri. Considera, comunque, che sono tantissimi i tentativi di accesso (verosimilmente da parte di sistemi automatizzati) che ogni giorno interessano i nostri account (non solo l'account Microsoft). Per come la vedo io, nella maggior parte dei casi, fintanto che gli accessi risultano non riusciti, hai metodi che facilitano un recupero dell'account, magari ancora meglio c'è anche attiva la verifica in due passaggi... e la tua esperienza non è interessata da cose come "blocchi" dovuti a questi tentativi, non adotterei misure ancora più invasive come quelle che interessano gli alias (che, peraltro, non possono pienamente garantire il cessare dei tentativi).

Alberto

Answer 4

Ti ringrazio per la risposta esaustiva.

Essendo utente Xbox avevo appunto paura di perdere l'account con tutta la libreria giochi e abbonamento Game Pass. Da tempo avevo appunto pensato di cambiare mail di riferimento per quanto riguarda Xbox creandone una nuova. Nelle impostazioni ho trovato ciò che dici ovvero creare una nuova mail outlook e impostarlo come "alias". Ho solo il timore appunto di perdere la libreria.

Quindi mi consigli di farlo ma senza cancellare la vecchia mail seppur magari compromessa? Perché era quello che stavo pensando di fare.

Answer 5

Buongiorno,

se ricevi email contenenti codici monouso, con tutta probabilità qualcuno (probabilmente un sistema automatico) sta cercando di sottrarti l'account.

In base a quanto riportato alla voce "Risolvere i problemi relativi ai codici di verifica non richiesti" dell'articolo Risoluzione dei problemi relativi ai codici di verifica - Supporto tecnico Microsoft , Microsoft suggerisce di ignorare tali mail (non comunicando il codice a nessuno) e, al massimo, considerare di attivare l' "accesso senza password". Si tratta di una raccomandazione, quest'ultima, che non ho personalmente testato in tal senso (non ho avuto modo di verificare se passare "senza password" possa effettivamente bloccare la richiesta dei codici monouso da parte di terzi) e, a mio avviso, si tratta di una configurazione di sicurezza di cui un utente dovrebbe valutare l'abilitazione solo dopo essere sicuri di aver aggiunto all'account (e mantenere aggiornati nel tempo) almeno 2 informazioni di sicurezza tradizionali (numero di cellulare e/o indirizzo email alternativo - preferibilmente, non tutti cellulari e non tutte email) ed almeno un metodo moderno (solitamente, esso è rappresentato dall'app di autenticazione Microsoft Authenticator o da token fisici o dispositivi con Windows Hello). Sempre al fine di ridurre la possibilità di perdere l'accesso, è consigliabile, laddove sia possibile, installare e configurare l'app Microsoft Authenticator su almeno 2 dispositivi (smartphone/tablet), se essa viene adottata. Maggiori informazioni, sia su come eventualmente aggiungere nuove informazioni di sicurezza (o "metodi di verifica" o "metodi di recupero", per intenderci) e sull'abilitazione dell'accesso senza password in queste risorse:

• Codici di verifica e informazioni di sicurezza dell'account Microsoft - Supporto tecnico Microsoft
• Come passare senza password con il tuo account Microsoft - Supporto tecnico Microsoft
• Informazioni su Microsoft Authenticator - Supporto tecnico Microsoft

In ottica di aumento della protezione dell'account e facilitazione di un eventuale recupero dello stesso, comunque, è generalmente consigliabile assicurarsi di aggiungere (e mantenere aggiornati nel tempo) dei metodi di verifica (cellulari/email) per l'account, a prescindere dal fatto che si intenda poi anche attivare configurazioni di sicurezza avanzate come la verifica in due passaggi o l'accesso senza password.

Per la tua situazione con la ricezione non richiesta di codici, comunque, consiglierei di sentire anche il supporto Microsoft per farti consigliare in merito. Potresti metterti in contatto con un agente seguendo questi passaggi:

1. Accedere al servizio di posta elettronica di Outlook.com con l'account Microsoft interessato.
2. In alto a sinistra individua la scheda denominata Guida. Cliccaci e clicca sul nuovo pulsante ? Guida (in alternativa a questi primi due punti, è possibile cliccare direttamente questo link).
3. Nel campo "Cerca nella Guida" fornire una breve descrizione del problema per parole chiave (nel tuo caso, "Codici monouso non richiesti" può andare). Avviare la ricerca cliccando la lente o premendo Invio.
4. Scorrere in fondo ai risultati proposti fino a trovare la domanda Serve ancora aiuto?, alla quale rispondere Sì.
5. Seleziona l'opzione mostrata per contattare l'assistenza (potrebbe esserti proposto il supporto via mail oppure una chat con operatore) e dettaglia la situazione ad un agente.

Nel tuo caso, tieni presente che il supporto potrebbe anche suggerirti procedure che interessano gli "alias" del tuo account Microsoft. In particolare, forse potrebbe proporre, se reputato utile alla tua esigenza, di farti inserire un nuovo alias nell'account e cambiare delle "preferenze di accesso" per cercare di bloccare i tentativi. A prescindere da che sia questo o meno il consiglio eventualmente dato, ti raccomando di domandare sempre le implicazioni che tali consigli possono avere sul tuo account e sulla tua esperienza di accesso e di uso dello stesso, prima di metterli in pratica.

-- Breve riassunto (non esaustivo) di cosa sia un alias e alcune implicazioni delle operazioni sugli stessi --

Un "alias" è, innanzitutto, un modo di fare riferimento ad uno specifico account Microsoft. Un indirizzo email o un cellulare (o un nome Skype) possono essere degli alias per un account. Microsoft fornisce la possibilità di aggiungere come alias un indirizzo email esistente che abbia dominio (la parte dopo la @) non Microsoft oppure di creare sul momento un indirizzo email avente dominio Microsoft (@outlook). In quest'ultimo caso, quello che ottieni non è solo un alias ma anche un indirizzo email, collegato al medesimo account Microsoft, che è in grado di inviare/ricevere posta elettronica. Quando viene creato un account Microsoft con un indirizzo email di dominio Microsoft o non Microsoft, tale indirizzo è anche l'unico alias associato all'account in quel momento. Se si sta aggiungendo un alias a quelli presenti, non si sta quindi creando un nuovo account ed è da considerare che non sarà possibile in futuro "scindere" un alias (con dominio Microsoft) per farlo diventare un account a sé stante. Inoltre, eliminare un indirizzo email avente dominio Microsoft, che ha la funzione di alias per un account, è un'operazione istantanea ed irreversibile, e così facendo perderesti non solo un modo per accedere al tuo account Microsoft ma anche proprio la possibilità di inviare/ricevere posta con quell'indirizzo email. Pertanto, assicurati di non eliminare mai un alias dall'account se non lo vuoi perdere, perché cancelleresti definitivamente anche l'indirizzo email da esso rappresentato, se quest'ultimo ha dominio Microsoft (@outlook , @hotmail , @live , @msn , ecc...). Senza rimuovere alcun alias, è possibile, invece, apportare delle modifiche indicando con precisione quali alias (se più di uno è presente) possono essere impiegati per accedere ad un account Microsoft attraverso una sezione dedicata chiamata "Cambia preferenze di accesso" presente nella pagina di gestione degli alias.

Ulteriori info, da leggere prima di apportare qualsiasi modifica inerente agli alias, qui: Aggiungere o rimuovere un alias di posta elettronica in Outlook.com - Supporto tecnico Microsoft

---

Alberto