Tokens y consentimientos, la puerta que no usa contraseña

Cuando una persona consiente a una aplicación, la aplicación recibe un acceso propio a los datos que esa persona le permitió: su correo, sus archivos, su calendario. Si además pidió el permiso de acceso sin conexión, puede renovar ese acceso por sí misma con tokens, sin que nadie vuelva a escribir la contraseña. Esas renovaciones no necesitan que la persona vuelva a escribir su contraseña.

Por eso la caza no parte de las contraseñas, sino de los consentimientos: qué aplicaciones recibieron permisos, quién los dio, con qué alcance, y si TI las había aprobado. Ejecuta apps_aprobadas y consentimientos.

No toda aplicación sin verificar es un problema. Dos criterios se combinan: que no esté aprobada y que sus permisos sean amplios. Un permiso de leer el perfil de la persona que consiente tiene poco alcance; leer correo y archivos, más el acceso sin conexión, es un acceso duradero a lo más sensible. Una aplicación torpe con permiso mínimo se anota para ordenar; una con permisos amplios se persigue.

Compara apps_aprobadas con consentimientos: las aplicaciones que no están en la primera y los permisos que pidió cada una.

Un consentimiento tiene una fecha y una cuenta, y el orden importa: la primera cuenta que consiente es la más cercana al origen del problema, la que probablemente recibió el mensaje, el enlace o la petición que lo causó. No es culpable por eso. Es el punto de partida para preguntarle cómo llegó a esa pantalla y qué más recibió.

Ejecuta consentimientos | where aplicacion == "Sincroniza-Planillas" y ordena por fecha y hora.

Cada renovación queda con su origen y el dispositivo que presentó el token. Cuando una aplicación se renueva desde el mismo equipo y el mismo origen que usó la persona al consentir, es el patrón esperado. Cuando empieza a renovarse a una hora en que nadie trabaja, desde otro origen y con un dispositivo que no está registrado, el token ya no está donde se concedió.

Ejecuta renovaciones_token | where aplicacion == "Sincroniza-Planillas" y compara con renovaciones_token, que incluye las de una aplicación aprobada como referencia de lo normal.

El hallazgo individual no es el tamaño del problema. Cuando una aplicación entra por consentimiento, el siguiente paso es contar cuántas cuentas la autorizaron, porque cada una es un acceso abierto a su propio correo y sus archivos. La búsqueda es la misma tabla con el mismo filtro, y la respuesta se cuenta, no se lee.

Con la lista de cuentas se puede avisar a cada persona y revocar los permisos de la aplicación para todas a la vez. Una de las cuentas puede no haber renovado todavía: sigue siendo parte del alcance, porque el permiso ya está concedido.