А есть идея почему это работает? Я нашел упоминание этого способа в интернете. Оно и правда работает. Правда в Android этот scope по дефолту не передаеся. А вот в iOSном сдк этот флаг передается по дефолту.
Звучит на самом деле больше как уязвимость, которую в любой момент могут прикрыть.