Il furto di token OAuth consiste nel sottrarre un token di accesso o un token di refresh in modo che un attaccante possa agire come un utente già autenticato. A differenza di una password, un token rubato può consentire a un intruso di saltare la fase di accesso e riutilizzare la sessione della vittima fino alla scadenza del token, alla sua revoca o ad altri vincoli applicati. Questo rende i token estremamente preziosi nelle moderne tecniche di attacco all'identità, soprattutto quando hanno una lunga durata o ambiti di autorizzazione ampi.
Nelle intrusioni reali, gli attaccanti possono intercettare i token da un browser compromesso, da un proxy malevolo, da malware che estrae dati dalla memoria, da log non sicuri o da flussi di phishing che inducono l'utente ad autorizzare un'app ostile. I difensori riducono l'impatto con token di accesso a breve durata, rotazione dei token di refresh, token vincolati al mittente, revoca efficace e archiviazione sicura dei token. Anche il monitoraggio di un uso anomalo dei token, come nuovi dispositivi, spostamenti impossibili o pattern API sospetti, può far emergere un replay prima che l'attaccante espanda l'accesso.