при регистрации в каком-нибудь приложении от сторонних разработчиков ВКонтакте, с вашего разрешения ВКонтакте отдают приложению access_token с правами, которое запрашивает приложение.
ACcess_token - Строка длиной 85 символов, состоящая из цифр и букв латинского алфавита: A, B, C, D, E, F - шестнадцатеричное представление чисел.
Когда у вас есть токен с определёнными правами от какого-то аккаунта, вы можете выполнять запросы к API VK, и получать соответствующую информацию.
например, если у вас есть токен определённого пользователя с правами на раздел API "messages", выполнив запрос на : https://api.vk.com/methods/messages.getLastActivity?user_id="ид пользователя"&access_token="токен, данный приложению"
Вернёт дату последней активности пользователя в сети.
Приложение, обладая этим токеном, может получить любую информацию из разделов на которые у него есть разрешение. Весь процесс работы с API и возможность создать своё приложение есть в разделе " Разработчикам" в полной версии сайта
Никто ничего не ворует. Если ты утверждаешь что они воруют, то давай поясни где и каким образом.