Microsoft heeft toegegeven dat het informatie over security lekken verzwijgt voor haar klanten. De softwaregigant doet dit om haar gebruikers te beschermen, maar critici noemen het misleiding en zijn bang dat deze manier van handelen er uiteindelijk voor zorgt dat iedereen risico loopt.

Mike Reavey, operations manager van het Microsoft Security Response Center, heeft in een interview bekend dat er geen details van intern ontdekte lekken onthuld worden. Dit moet voorkomen dat aanvallers van deze kennis misbruik kunnen maken. "Er is een balans tussen het geven van informatie om het risico in te schatten en het geven van informatie die aanvallers helpt" aldus Reavey.

Als de softwaregigant een lek krijgt doorgespeeld van externe onderzoekers, dan wordt er een uitgebreid onderzoek uitgevoerd naar mogelijk andere code die kwetsbaar is. Als een soortgelijke bug door Microsoft medewerkers wordt gevonden, dan zal het uiteindelijk ook gepatcht worden, maar blijven de details geheim.

Volgens eEye Digital Security komt het regelmatig voor dat Microsoft in alle stilte lekken patcht: "Het is het skelet in Microsoft's kast. We vinden ze regelmatig".

Het antwoord van Microsoft dat het informatie achterhoudt om gebruikers te helpen kan niet op de sympathie van veel systeembeheerders rekenen. Systeembeheerders kunnen de patches niet reverse-engineeren, de "slechterikken" doen dit wel. Beheerders die moeten bepalen hoe ernstig een lek is zijn dan ook de enige die op deze manier getroffen worden.