Те, что в браузере или в виде отдельной проги. Насколько я понимаю, как минимум некоторые из них хранят данные локально. В зашифрованном виде, но зловред может найти где хранится ключ, или извлечь из проги, если он скачивается с сервера.
Так что собственно сабж.