Entra ID permite a los usuarios consentir de forma autónoma el acceso de aplicaciones externas a los datos de la organización, lo que los atacantes pueden aprovechar en ataques de “concesión de consentimiento ilícito”. Para evitar esto, restrinja el acceso a editores verificados o exija la aprobación de un administrador.

Entra ID implementa el mecanismo de delegación OAuth 2.0, lo que permite a los usuarios dar su <a href="https://learn.microsoft.com/es-es/entra/identity-platform/permissions-consent-overview#consent">consentimiento</a> a cualquier aplicación de terceros. Al hacerlo, los usuarios conceden a estas aplicaciones acceso a sus datos y, por extensión, a los datos de cualquier organización a la que puedan acceder.
Los atacantes han ideado ataques de ingeniería social mediante aplicaciones malintencionadas que a menudo se hacen pasar por aplicaciones empresariales legítimas y que requieren permisos confidenciales. Una vez que se conceden estos permisos, permiten a los atacantes robar datos o realizar acciones en nombre del usuario. Estos ataques se conocen como “<a href="https://learn.microsoft.com/es-es/defender-office-365/detect-and-remediate-illicit-consent-grants">concesión de consentimiento ilícito</a>” o “<a href="https://www.microsoft.com/es-es/security/blog/2023/12/05/microsoft-incident-response-lessons-on-preventing-cloud-identity-compromise/#oauth">phishing de consentimiento</a>”.
Entra ID ofrece tres opciones con respecto al consentimiento del usuario para las aplicaciones:
<ul>
<li>“No permitir el consentimiento del usuario”: la opción más segura.</li>
<li>“Permitir el consentimiento del usuario para aplicaciones de editores verificados, para permisos seleccionados”: Microsoft recomienda esta opción intermedia porque reduce el riesgo al permitir solo permisos menos confidenciales y restringir el acceso a aplicaciones de “<a href="https://learn.microsoft.com/es-es/entra/identity-platform/publisher-verification-overview">editores verificados</a>”.</li>
<li>“Permitir el consentimiento del usuario para aplicaciones”: de forma predeterminada, esta opción menos segura permite a los usuarios dar su consentimiento a cualquier aplicación, incluidas las externas, para la mayoría de los permisos (excepto aquellos reservados para administradores).</li>
</ul>
De manera predeterminada, el IoE solo marca como incorrecta la opción menos segura en Entra ID. Para una mayor sensibilidad de seguridad, puede habilitar la opción “Estricto” del IoE, que marca la opción de Entra ID menos segura y la intermedia.
La política <a href="https://www.cisa.gov/resources-tools/services/m365-entra-id#application-registration-and-consent">MS.AAD.5.2v1</a> de CISA “M365 Secure Configuration Baseline for Microsoft Entra ID” (texto en inglés), exigida por BOD 25-01, requiere que solo los administrados tengan permitido dar el consentimiento a las aplicaciones.

Initial Access (texto en inglés)

Phishing (texto en inglés)

Privilege Escalation (texto en inglés)

Account Manipulation: Additional Cloud Credentials (texto en inglés)

Account Manipulation: Additional Cloud Roles (texto en inglés)

Credential Access (texto en inglés)

Steal Application Access Token (texto en inglés)

Lateral Movement (texto en inglés)

Use Alternate Authentication Material: Application Access Token (texto en inglés)

Consentimiento de usuario sin restricciones para aplicaciones

Detecciones

Consentimiento de usuario sin restricciones para aplicaciones

MEDIUM

Version 202507230918

Version 202411071130

Version 202507230918 Jul 23, 2025, 9:18 AM Metadata (Add reference to corresponding CISA BOD 25-01 policy) Release: 202507230918
Version 202411071130 Nov 7, 2024, 11:30 AM New Release: 202411071130