1)
su windows nessuno sta in rete con account limitato
xp di default crea gli account con diritti amministrativi, pochi sanno come creare un account con diritti limitati
su Vista è un pò meglio perchè esiste lo UAC che chiede sempre la password, ma come ben sai la chiede un pò troppo e la maggioranza delle persone (niubbe) lo disattiva dopo 2 gg
2)
l'antivirus non è la panacea di tutti i mali
con gli antivirus possono esserci 1000 motivi per cui un malware passa (database firme virali non aggiornato da parte dell'utente o non aggiornato ancora dalla casa produttrice di virus, ci sono i virus polimorfici che per stargli dietro nel cambio di firme sudi le proverbiali 7 camicie, ci sono gli spyware che non sono intercettati da un antivirus ma da un anti-spyware, etc)
p.s.
medita bene sul tuo famoso convincimento che un bug non viene mai rilevato fino a quando la patch non viene rilasciata