Come proteggere contro le applicazioni dannose canaglia in Azure AD?

Considera il seguente scenario ipotetico:

1. Creo la PhotoApp - applicazione Android nativa che viene utilizzata dagli utenti per gestire le loro foto private.
2. Creo il PhotoService - API Web a cui accede la FotoApp nativa , che fornisce l'accesso e l'archiviazione delle foto.
3. Entrambe le applicazioni sono registrate in Azure AD e PhotoApp ha il permesso di accedere a PhotoService .
4. PhotoApp utilizza il flusso web middleware di Azure AD per fornire un accesso all'applicazione e accedere a PhotoService .
5. PhotoApp è lanciato e disponibile per gli utenti.
6. Download di party dannosi PhotoApp ed estrae TenantID, ClientID e il resto del materiale di autenticazione dal pacchetto dell'app.
7. La parte dannosa crea l'applicazione canaglia BanditApp che utilizza la stessa configurazione di autenticazione ( TenantID, ClientID, ... ) come originale PhotoApp .
8. BanditApp è lanciato e disponibile per gli utenti.
9. Azure AD non è in grado di distinguere tra PhotoApp e BanditApp originali
.
10. L'utente accede a BanditApp .
11. Il BanditApp ruba le foto all'utente.
12. Azure AD e PhotoService sono ora coinvolti in attività illegali.

Questo scenario è fattibile?

Come impedire che ciò accada?