Я не совсем понимаю как "сам все поймёшь" сферическая атака в вакууме может состояться.
Выше ребята писали про oauth, это нативная авторизация через токен которая с 16 года не работает на WebView. Без вебвьюхи не получится похулиганить ведь только она имеет широкие возможности инжектирования js кода, скрытия адресной строки итд. Этой радости нет ни в обычном браузере (приложение не может работать с браузером), ни в Google custom tabs (у табсов нет возможности инжектирования кода).
Пост про социальную инженерию это банальная фишинговая атака, когда гонят жертву на фишинговый сайт и вынуждают ввести данные. Но и тут беда для плохишей, в Гугле тож не бамбук курят, поэтому добавили 2х факторку, а если она отрублена то помимо того что система будет смотреть на кучу флагов включая левый ip, левое устройство и потребует дополнительную верификацию с кучей вопросов.
Так что согласен, рано чувака в скаме начал подозревать)