Aunque hay métodos muy sofisticados y troyanos casi idetectables (hay toda una cultura de este tipo de programas, en la que los únicos capaces de desinfectar a los troyanos son otros troyanos de la competencia), en realidad en el 90% de los casos todo se reduce a que el usuario le da sus claves al malo. Así, a pelo.
Es como si alguien llama a nuestra puerta, enchaquetado con una identificación plastiquera del banco y nos pide las claves de nuestras tarjetas, banca electrónica, etc... y se las damos; y luego nos quejamos al banco. Aquí no ha hecho falta ni spoofing, ni zeus, ni man in the middle ni man in the browser ni keyloggers ni na de na, sólo ha hecho falta un pardillo.
Lo que ocurre con internet es que tenemos una falsa sensación de seguridad, de automatismo, de que si la máquina lo dice será por algo; cuando internet no deja de ser una gran aula llena de copiones mirando por encima del hombro. Las entidades bancarias suelen tener medidas de seguridad muy sofisticadas para evitar ataques muy sofisticados (claves dinámicas, mensajes a móvil, tarjetas de coordenadas variables, etc...) pero nada puede evitar un ataque del tipo "dame tus claves, porfa". Los afectados siempre se quejan del banco, pero la gran mayoría acaba reconociendo que, "ah sí, que me mandaron un correo..." o "ah sí, si entré en una página que me pedía las 64 casillas de la tarjeta de coordenadas".
A mi me mandan un correo pidiéndome la clave de mi caja fuerte y si luego aparece vacía, la culpa no es ni del fabricante de la caja ni del diseñador del cierre de combinación, la culpa es mía por pardillo. No digo que sea el caso de estas personas, que pueden haber sido atacadas por un malware sofisticado (el sistema man in the middle es realmente terrorífico) pero así ocurre la mayor parte de las veces.