Para su información @pmusaraj / @angus por si tienen alguna idea.
Mi suposición aquí es… que empezaron a exigir un ámbito (scope) en la carga útil (payload) de OAuth por motivos de seguridad.