In tegenstelling tot de Mozilla Foundation en verschillende beveiligingsbedrijven zal Microsoft beveiligingsonderzoekers niet voor het vinden van lekken betalen. In plaats van geld kunnen onderzoekers rekenen op een vermelding in de Microsoft security bulletins. "Ik denk niet dat betalen een gezond idee is" zegt chief security advisor Roger Halbheer.

Volgens Halbeer is het een kwestie van vertrouwen, en als onderzoekers zien hoe Microsoft werkt, ze vanzelf willen samenwerken. "We zijn niet lui als het om fixes gaat, maar patches zijn erg complex om te ontwikkelen". Tijdens de Infosecurity 2007 conferentie liet hij verder weten dat het soms honderden dagen kan duren om een patch te ontwikkelen. In het geval van een Internet Explorer patch moeten er meer dan 400 tests worden uitgevoerd voordat de patch klaar voor gebruik is.

Als het gaat om het vinden van computercriminelen is Microsoft niet zo zuinig. Drie jaar geleden begon het met het betalen van tipgevers, zo kreeg de jongen die voor de aanhouding van Sasser auteur Sven Jaschan zorgde, 250.000 dollar. Mozilla geeft onderzoekers 500 dollar en een t-shirt voor een gemeld lek.