Oi Gabriel,

Acho que pode ser via ExceptionHandler mesmo:

@ExceptionHandler(AccessDeniedException.class)
public ResponseEntity<Object> handleAccessDeniedException(Exception e, WebRequest request) {
    return new ResponseEntity<Object>("Acesso negado!", HttpStatus.FORBIDDEN);
}

Bons estudos!

Boa tarde Rodrigo!

Aparentemente o tratamento acontece antes da execução da aplicação, assim o handler não consegue capturar a exception. O que fiz para resolver foi o seguinte:

1. Criei uma classe personalizada implementando a interface AuthenticationEntryPoint:

   public class CustomAuthenticationEntryPoint implements AuthenticationEntryPoint {
   
    @Override
    public void commence(HttpServletRequest req, HttpServletResponse res, AuthenticationException authException) throws IOException, ServletException {
        res.setContentType("application/json;charset=UTF-8");
        res.setStatus(403);
   
        ObjectMapper mapper = new ObjectMapper();
        res.getWriter().write(mapper.writeValueAsString(new Error(403,"Forbidden","Acesso Negado!")
        ));
    }
   }

2. Declarei um bean AuthenticationEntryPoint retornando a classe personalizada criada na classe que se extende de WebSecurityConfigurerAdapter:

   @Bean
    public AuthenticationEntryPoint authenticationEntryPoint(){
        return new CustomAuthenticationEntryPoint();
    }

3. E inclui dentro do método configure o exceptionHandling():

   //Configuracoes de autorizacao
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
                .antMatchers(HttpMethod.GET, "/rest/api/v1/brasileirao/times").permitAll()
                .antMatchers(HttpMethod.POST, "/auth").permitAll()
                .anyRequest().authenticated()
                .and().exceptionHandling().authenticationEntryPoint(authenticationEntryPoint())
                .and().csrf().disable()
                .sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS)
                .and().addFilterBefore(new AutenticacaoViaTokenFilter(tokenService, loginRepository), UsernamePasswordAuthenticationFilter.class);
    }

   Segue link de auxilio: https://stackoverflow.com/questions/48306302/spring-security-creating-403-access-denied-custom-response

Obrigado!