Doch. Dafür ist ja das Token mit der Session verknüpft. Ein Ratender müsste beides erraten und das wäre wirklich schwierig. Zumindest schwierig genug, die aktuellen Lösungen als "sicher" zu bezeichnen.
Und dann wäre da noch die Sache mit der TLS Verschlüsselung.