sì è possibilissimo fare un javascript del genere.

Il problema è che di solito, se non sei il proprietario del sito, non c'è modo di metterlo... a meno che tu non trovi un bug clamoroso: Ti è mai capitato di andare in quei forum dove dopo un po' ti dice che devi pagare per continuare? Sono stati hackati con questa tecnica

Già

oppure fare un attacco "uomo nel mezzo", ma che è complicatissimo da fare

solo se questa persona usa il mio computer con le mie impostazioni, con un preavviso di una settimana per configurare la mia rete in modo da mettere un finto server nel mezzo

altrimenti è troppo complicato "frapporsi" tra una persona e il sito che vuole ricevere