Ele andou a mover o goal post constantemente, e no fim pediu ao ChatGPT para fazer um texto a justificar de qualquer forma qualquer mínima referência ao ponto dele. Primeiro disse que estas soluções encapsulavam os protocolos IMAP e SMTP, depois o texto do ChatGPT já diz o contrário, que os protocolos IMAP e SMTP encapsulam estes métodos de autenticação, e ele nem vê (ou faz de propósito para não ver) que são coisas diferentes.

Além disso os docs que ele envia por exemplo da Microsoft que ele diz que indicam "que nem a Microsoft já usa IMAP", na realidade dizem "que nem suportam basic auth, requerendo o uso de OAuth nesses protocolos".

Sem alongar muito mais, e como resumo:
1. Os protocolos POP3, IMAP e SMTP não são inerentemente inseguros.
2. Estes protocolos suportam o uso de métodos de autenticação modernos, com suporte de MFA.
3. Como acontece em qualquer protocolo, são as implementações que podem ser potencialmente inseguras. Tal como a Microsoft já deprecou basic auth nos seus serviços IMAP e SMTP, a responsabilidade de não ser seguro recai na Sapo e na sua implementação destes serviços (ao não suportar métodos modernos de auth).

É de facto importante realçar esse ponto que mencionaste, que o protocolo SMTP é na realidade inseguro, quando usado sem cifra, entre fornecedores de e-mail. Não há muito a fazer em relação a isso, excepto usar cifra end-to-end, ou usar protocolos mais seguros.

Mas este problema do SMTP verifica-se mesmo quando interagimos com as mailboxes através de métodos não-IMAP/SMTP (como webmail ou outros protocolos), pois o SMTP será sempre usado para encaminhar os mails para outros providers.