L'uso improprio del token significa usare un token di accesso valido in un modo che non era previsto o autorizzato. Il token può essere reale e non scaduto, ma la persona o il processo che lo utilizza non sta rispettando i confini di accesso originariamente concessi.
Questo è importante perché molti sistemi cloud e di identità si fidano dei token come prova di autenticazione. Se un attaccante ruba un token, ne riutilizza uno di un'altra sessione o abusa di un token con autorizzazioni più ampie del previsto, può agire come un utente legittimo senza attivare immediatamente le difese basate sulla password. Negli attacchi reali, l'uso improprio del token può consentire l'accesso alla casella di posta, l'esportazione di dati, le chiamate API o il movimento laterale da un servizio cloud a un altro. Gli difensori cercano posizioni insolite, user agent anomali, viaggi impossibili, download di dati anomali e un uso del token che non corrisponde alla normale attività aziendale. Controlli di sessione robusti, tempi di vita brevi dei token, accesso condizionale e revisione dei log aiutano a ridurre il rischio.