Websites met het Hacker Safe certificaat zijn zo lek als een mandje, zo blijkt uit onderzoek, en ook de eigen website is niet vrij van beveiligingslekken. Het logo moet aantonen dat de website veilig zou zijn, maar dat is volgens twee onderzoekers van Xssed.com niet het geval. Zij ontdekten dat sinds februari 2007 tenminste 62 Hacker Safe websites met cross-site scripting lekken te maken hadden en in een aantal gevallen nog steeds kwetsbaar zijn. ScanAlert, het bedrijf achter Hacker Safe, werd eind vorig jaar door McAfee overgenomen, maar ook op die website troffen de onderzoekers cross-site scripting aan. Via deze lekken is het mogelijk om vertrouwelijke gegevens, zoals wachtwoorden en creditcard- nummers, te stelen van mensen die dit soort websites bezoeken.

Volgens ScanAlert kan cross-site scripting niet worden gebruikt voor het hacken van een server, en wordt er hier ook niet op gecontroleerd door het bedrijf. "Je kunt er dingen mee doen die de eindgebruiker treffen, maar de klantgegevens in database zijn niet via een cross-site scripting aanval te compromitteren, althans niet direct."

De onderzoekers die de problemen met het logo ontdekten zijn het hier niet mee eens, en zien het als een tekortkoming in de dienst die het bedrijf levert. ScanAlert zegt op haar eigen website dat het namelijk wel op cross-site scripting lekken controleert. Het Hacker Safe logo is dan ook een "onnauwkeurige marketingkreet."

Eind december werd geek.com gehackt en wisten aanvallers creditcard- gegevens zoals verloopdatum en verificatienummer, adresgegevens, telefoonnummer, naam en e-mailadres van klanten te stelen. De website zou echter op het moment van de aanval niet het logo hebben gedragen, hoewel dit nog steeds onduidelijk is. "Deze dienst is op zijn best zwak te noemen, en geeft nietsvermoedende eindgebruikers die deze sites bezoeken een vals gevoel van veiligheid", zegt IT consultant Rafal Los.