Хранятся они во всех папках, нужных и служебных к тому же.

А вот некоторые лица, типа псевдо-хакеры, имеют обыкновение хранить пассворды с энтропией 105 бит в KeePass, ничего не запоминая.

И у них, браузеры не сохраняют пассы. Кукисы тоже.