Te recomiendo varias cosas:
- No muestres mensajes "inteligentes" cuando el correo no exista o la clave sea incorrecta. Haz un único mensaje diciendo "Correo y/o contraseña incorrecta". No facilites el trabajo de búsqueda de usuarios válidos.
- NUNCA (y repito, NUNCA) guardes la contraseña en una variable de sesión. Si estás en un alojamiento compartido los archivos de sesión se guardan en una ubicación compartida por todas las páginas web, pudiendo, de esta forma, robar las credenciales de tus usuarios fácilmente.
- Usa una sal para agregarla al hash de la contraseña. Dificultarás (en caso de que accedan mediante inyección SQL a tus datos de usuarios) la obtención de las claves mediante tablas arcoiris.
Convierto esta respuesta en una wiki de comunidad para que vayan agregando más consejos.