Onderzoekers hebben voor het eerst onderzocht hoeveel mensen daadwerkelijk gespamverteerde producten kopen en dat valt vies tegen, althans, als je een spammer bent. Door het Storm worm botnet te infiltreren konden de onderzoekers zien hoeveel spamberichten aankomen, hoeveel mensen er doorklikken, hoeveel mensen uiteindelijk tot een aankoop overgaan en wat dit oplevert. In totaal deden de onderzoekers drie tests. De eerste test was voor een online apotheek waarvoor het botnet 350 miljoen spamberichten verstuurde. Daarvan kwam 24% aan op de mailserver van de ontvanger, hoewel de onderzoekers niet konden zeggen hoeveel berichten werden afgeleverd.

Bij 10.500 van de afgeleverde berichten klikten gebruikers op de getoonde link. Slechts 28 gebruikers kochten uiteindelijk het product, met een gemiddelde waarde van honderd dollar. Aangezien de campagne 26 dagen duurde, verdiende de spammers dus iets minder dan honderd dollar per dag, geen vetpot. De onderzoekers beschikten over slechts 1,5% van het Storm botnet. Als ze de cijfers extrapoleerden naar het volledige netwerk, kwam men uit op 7.000 tot 9.500 dollar per dag. Voor een heel jaar zou de bende achter Storm hier zo'n 3,5 miljoen dollar mee verdienen.

Outsourcing geen vetpot
Als de opbrengsten gedeeld zouden worden tussen de botnetbeheerder en spammer, zijn de inkomsten een stuk lager. Zeker met de kosten van het spammen in beschouwing genomen. Die zouden per 350 miljoen spamberichten op 25.000 dollar neerkomen, wat suggereert dat het huren van een botnet niet veel oplevert en de eigenaren van Storm waarschijnlijk zelf voor de meeste spam verantwoordelijk zijn.

De onderzoekers keken in het onderzoek ook hoeveel van de door Storm verstuurde malware campagnes een succes zijn. Van de bekende "postcard" berichten kwam 25% op de mailserver van de ontvanger aan. Het aantal mensen dat het bericht opende lag met 0,004% iets hoger dan bij de spamberichten (0,003%) het geval was. Uiteindelijk trapten 316 mensen in de val. De aanval met een kwaadaardige 1 april grap werd naar 40 miljoen e-mailadressen gestuurd en wist 225 mensen te misleiden. Eind augustus beweerde een filterbedrijf dat maar liefst 29% van de mensen gespamverteerde producten koopt.