Cómo investigué las alertas de alcance de OAuth sin bloquear la aplicación incorrecta

Me encontré con esto en una revisión de seguridad después de que nuestro SIEM marcara una cuenta de servicio por solicitar un alcance de OAuth más amplio. El problema era que la alerta mencionaba una integración de producción, pero la actividad real del token no coincidía con el propietario de ese servicio. Al principio culpé a un compromiso de credenciales activo, pero aparecía cada vez que un…