Glossaire
Consentement illicite (illicit consent grant)
Technique d'hameçonnage où la victime est amenée à autoriser l'application OAuth d'un attaquant, qui accède ensuite à ses données avec un jeton.
Un consentement illicite (hameçonnage par consentement) pousse un utilisateur à cliquer sur « Autoriser » pour une application OAuth contrôlée par l'attaquant, par exemple un faux « lecteur PDF ». L'application reçoit un jeton pour les scopes OAuth demandés, comme l'accès complet à Gmail, et peut l'utiliser sans le mot de passe. Le jeton survit à une réinitialisation du mot de passe tant qu'il n'est pas révoqué.
Dans Google Workspace, l'autorisation est l'événement authorize du journal des jetons OAuth, et son usage apparaît sous forme d'événements activity. MITRE : T1528.