Таскать не обязательно через https, а вот входить и менять установки - надо.
А для не-техников - все наши пароли передаются по проводу открытым текстом. Подслушать их совсем не сложно. Сложнее придумать схему как слить все деньги (со многих счетов, из-за одного никто мараться не будет), но те, кто этим занимается, и не такое придумывали