Llegó una alerta de anomalía de MFA, ¿cómo confirmar el riesgo sin bloquear por error la cuenta de un empleado?

Me encontré una vez con que un colega de ventas recibió notificaciones push de MFA de forma continua, mientras que el SIEM indicaba simultáneamente intentos fallidos de inicio de sesión desde una ubicación remota. Al ver la alerta, es fácil querer deshabilitar la cuenta de inmediato, pero ese día él estaba de viaje de negocios en otro estado y usaba la red del hotel, por lo que no se puede…