Хранение нехешированных паролей в базе данных

Токены есть. Но боюсь (паранойя?), что токены тоже могут увести и работать с данными пользователей через них.