Безопасный обмен данными между моб приложением и бэкендом?
НИКАК. Все что лежит на клиенте может быть сломано. Протоколы взаимодействия клиента и сервера будут вскрыты и все равно будет лететь калл на сервер, тут ничего не поделаешь.

1)От школьников и хацкеров можно защититься при помощи SSL/TLS. Если у тебя REST API то просто ставишь сертификат на сервер при помощи Lets Encrypt или же стороннего провайдера по типу CloudFlare.

2) В REST данные передаются по URL. Первое, что будет делать человек, который декомпильнул твой апликатион он будет искать URL в коде. Шифруй URL в каких-нибудь base64 или как-нить по-другому. Сам код нужно будет обфусцировать, запутать.

3) Максимально усложнить хацкерам жизнь. Например, ограничить кол-во запросов в минуту или в час. Выдавать иногда капчу, усложнить протокол аутентификации (например, часто менять ключ и разными способами, делить ключи на части и получать их разными методами). При обфусцированном коде это будет довольно сложно отследить.

Это все можно будет обойти опытному человеку минут за 5-10. Просто поднимается посредник между клиентом и сервером и тупо ставится поддельный сертификат или же подменяются ключи. Таким образом злоумышленник может "отлаживать" твой протокол взаимодействия. 

Все меры защиты нацелены на усложнение взлома, а не на его невозможность.
Уже был правильный ответ - никак. С технической точки зрения клиент не будет делать взаимной аутентификации с сервером. Да, поднимут прокси и разберут протокол.

могу предложить иное решение вопроса: если нужно избавится от "неофициальных" клиентов своего сервиса, то за счёт контроля и над "официальным" клиентов и сервером можно синхронно выкатывать обновления, меняющие протокол взаимодействия неким образом, который потребует повторного реверса протокола. Понятно, что реверс сделают - но это же хлопоты, работа и время. В это время неофициальные клиенты "отвалятся" от сервера - что побудит пользователей этих клиентов перейти на работающее официальное приложение.

Количество апдейтов протокола взаимодействия клиента и сервера - не ограничено. Можно развлекаться каждую неделю, меняя полностью URL схему сервера - пусть авторы неоригинального приложения бегут за паровозом. Высока вероятность - что устанут. Или устанут их клиенты))