REST API, как защитить приложение от взлома

Всем привет. Есть приложение которое обращается к АПИ с grant_type: client_credentials. У данного клиента есть доступы ко многим ресурсам (получить всех пользователей, все заказы и пр.)

В момент передачи все идет через https и оттуда client_id и client_secret угнать не получится.

Однако эти данные хранятся в самом приложении, а значит если как-то распаковать приложение, то злоумышленник сможет получить доступ ко всему апи.

Как от этого защититься?