Нажал «Принять» — и забыл. А мы уже внутри

[Granulex]

Авторы рекомендуют "ограничить согласие пользователей", но не уточняют как: в Entra Portal → Enterprise Applications → User consent settings есть "Do not allow user consent" – это закрывает весь класс атак превентивно, ещё до первого нажатия "Принять". И нюанс, который в статье пропущен: отзыв согласия не аннулирует уже выданный refresh_token – он живёт до 90 дней по умолчанию. Мониторинг хорош, но сначала нужно закрыть это окно через Configurable Token Lifetime policy или ревокацию через Entra → Revoke sessions.