Приложения вконтакте делаются на API для контакта + ActionScript. Т.к. приложение может получить доступ к кукам, то оно запросто отдаёт их дргуому юзеру => заменяя куки мы получаем доступ без ввода логина и пароля на страницу