o jeito mais fácil pra mim de verificarum bot é colocar ele em um servidor de descartável, e depois fazer tudo que você falou
É uma boa estratégia, porém o ruim é quando o app tem um link malicioso (phishing) e o usuário acessa ele pensando que é site X, mas é site Y.