A spec do JWT token prevê esse caso perfeitamente.
Somente validar se existe ou não o token é uma baita brecha de segurança e deve ser completamente evitado.
Um token JWT é uma string cifrada que contém informações a respeito de quem emitiu aquele token (sua aplicação) e qual é o sujeito daquele token (o usuário) além de outras tantas informações.
Você primeiro precisa ter certeza que seu backend está gerando o token com essas informações, depois toda vez que uma requisição for enviada ao seu backend é preciso decifrar esse token e extrair as informações não apenas verificando sua existência como você disse que está sendo feito atualmente.
Abaixo coloco alguns links da especificação JWT com detalhes dos campos e validações.
- Campos
iss
esub
são os que eu mencionei para armazenar as informação de qual aplicação e para quem o token foi gerado.
https://tools.ietf.org/html/rfc7519#page-9https://www.rfc-editor.org/rfc/rfc7519#page-9
- Como gerar e validar JWT tokens
https://tools.ietf.org/html/rfc7519#page-13https://www.rfc-editor.org/rfc/rfc7519#page-13
Não conheço Laravel mas uma simples busca no Google me retornou uma biblioteca que já implementa a especificação do JWT.
https://github.com/tymondesigns/jwt-auth
Espero ter ajudado.