Laboratorio de consentimiento OAuth
Revisa unas 20 solicitudes de consentimiento de aplicaciones de terceros y decide si las permites o las bloqueas, y por qué: el entrenador contra el phishing de consentimiento.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
El phishing moderno nunca te pide la contraseña. Te pide que pulses Aceptar en la pantalla de consentimiento de una aplicación de terceros, y la aplicación se va con un token de actualización de OAuth que sobrevive a un cambio de contraseña y a la MFA. Es la concesión de consentimiento ilícita, o phishing de consentimiento. Trabaja una cola de unas 20 solicitudes de consentimiento con forma real y decide en cada una: permitirla, o nombrar por qué debe bloquearse (una aplicación con más permisos de los que necesita su función, una captura silenciosa de persistencia con offline_access, una redirección a un host parecido o a localhost, un editor no verificado que quiere acceder a tu buzón, un impostor de marca o un permiso de administrador para todo el tenant). Juzgas las señales reales: los scopes pedidos frente a la función declarada, la verificación del editor, la URI de redirección, el consentimiento de un solo usuario frente al del administrador del tenant, y la antigüedad y la base de instalaciones de la aplicación. Y cuidado con las trampas: una herramienta de copias de seguridad verificada necesita de verdad todo el buzón. Se te puntúa por la tasa de detección frente al exceso de bloqueo, porque denegar una aplicación legítima es un fallo en sí mismo que enseña a los usuarios a esquivar a TI. Es un laboratorio Pro: con una cuenta gratuita tienes 3 usos de herramientas Pro en total y después necesitas Pro.
- Abre cada solicitud de consentimiento y lee los permisos pedidos, el editor, la URI de redirección y el tipo de consentimiento.
- Compara los scopes con la función declarada de la aplicación.
- Permítela o bloquéala nombrando el motivo concreto.
- Revisa tu tasa de detección y la penalización por bloquear aplicaciones legítimas.
Preguntas frecuentes
¿Qué es el laboratorio de consentimiento OAuth?
Un ejercicio en el navegador en el que revisas solicitudes de consentimiento de aplicaciones de terceros (la pantalla de «Permisos solicitados» que ve un usuario o un administrador del tenant cuando una aplicación pide conectarse a Microsoft 365 o a Google Workspace) y das a cada una un veredicto: permitirla, o un motivo concreto para bloquearla, como exceso de permisos, una captura de persistencia con offline_access, una URI de redirección sospechosa, un editor no verificado que pide datos sensibles, suplantación de marca o scopes de administrador para todo el tenant. Se te puntúa por cuántas aplicaciones maliciosas deniegas frente a cuántas legítimas bloqueas por error.
¿Qué es una concesión de consentimiento ilícita o phishing de consentimiento?
Es un ataque que se salta la contraseña por completo. El atacante envía un señuelo que enlaza con una pantalla de consentimiento OAuth real de una aplicación que controla; cuando la víctima pulsa Aceptar, la aplicación recibe un token de acceso OAuth y, si pidió offline_access, un token de actualización. Ese token es un acceso permanente al buzón, los archivos o el directorio que sigue funcionando después de que la víctima cambie su contraseña e incluso después de que supere la MFA, porque la concesión es una autorización aparte. Microsoft y Google lo consideran una de las principales amenazas de identidad; la defensa es gobernar qué aplicaciones pueden obtener consentimiento y revocar las concesiones de riesgo.
¿Cómo se califica?
Cada solicitud de consentimiento tiene un único veredicto correcto. Tu tasa de detección es la proporción de aplicaciones de riesgo que bloqueas con el motivo exacto. Los falsos positivos (bloquear una aplicación legítima) tienen una penalización adicional de higiene, porque un administrador que bloquea por reflejo cualquier aplicación con permisos amplios rompe a proveedores reales y empuja a los usuarios hacia el shadow IT. Una partida perfecta acierta en todas las solicitudes, incluidas las legítimas.
¿Se conecta a mi tenant real o a alguna aplicación?
No. No se sube nada, no se contacta con ningún proveedor de identidad y no se concede nada a ninguna aplicación real. Las solicitudes de consentimiento son instantáneas realistas redactadas e incluidas en la página, y cada veredicto es determinista. Funciona por completo en tu navegador: sin instalación y sin enviar nada a ninguna parte.
¿Para quién es?
Para administradores de identidad y de seguridad que aprueban o gobiernan el consentimiento de aplicaciones en Entra o Google Workspace, analistas de SOC que investigan concesiones OAuth y cualquiera que prepare una entrevista de seguridad y quiera entender por qué offline_access en una aplicación no verificada, una redirección a una IP en bruto o full_access_as_app son motivos de bloqueo, y por qué el scope amplio aprobado por un administrador para un proveedor verificado no lo es.
¿Es gratis?
No, es un laboratorio Pro. Con una cuenta gratuita tienes 3 usos de prueba de herramientas Pro en total; después necesitas Pro.