Mas interceptar token não é relevante.

Interceptando um token tornaria um atacante acessando um site como se fosse seu usuário.

esse atacante poderia ver todas as informações disponíveis, fazer todas as modificações que esse usuário tem permissão de fazer.

Imagina esse nível de acesso em um sistema empresarial?

Por meio dessa interceptação de token tenho amigos que tiveram todos os seus vídeos do youtube apagados e um vídeo de tigrinho postado.

Imagina um canal com 2 milhões de seguidores ter todos os seus vídeos apagados ...

Como isso poder ser perigoso ?

Isso me diz muito como você leva a sério seu próprio trabalho

Eu aposto um pouquinho da minha reputação aqui cara.

A gente tá na internet, ninguem se importa com a sua reputação ...