¿Cómo protegerse contra aplicaciones malintencionadas fraudulentas en Azure AD?

Considere el siguiente escenario hipotético:

1. Creo la PhotoApp : aplicación nativa de Android que utilizan los usuarios para administrar sus fotos privadas.
2. Creo el PhotoService : API web a la que se accede mediante el PhotoApp nativo, que proporciona el acceso y el almacenamiento de las fotos.
3. Ambas aplicaciones están registradas en Azure AD y PhotoApp tiene permiso para acceder al PhotoService .
4. PhotoApp usa el flujo web de middleware de Azure AD para proporcionar un inicio de sesión a la aplicación y acceso al PhotoService .
5. PhotoApp se lanza y está disponible para los usuarios.
6. La parte maliciosa descarga PhotoApp y extrae TenantID, ClientID y el resto de los elementos de autenticación del paquete de la aplicación.
7. La parte maliciosa crea una aplicación fraudulenta BanditApp que usa la misma configuración de autenticación ( TenantID, ClientID, ... ) como la PhotoApp original .
8. BanditApp se lanzó y está disponible para los usuarios.
9. Azure AD no puede distinguir entre PhotoApp original y BanditApp .
10. El usuario inicia sesión en BanditApp .
11. El BanditApp roba fotos del usuario.
12. Azure AD y PhotoService ahora están involucrados en actividades ilegales.

¿Es este escenario viable?

¿Cómo evitar que esto suceda?