Internetoplichters kiezen er liever voor om hun website op een gehackte webserver te plaatsen dan een gratis hostingprovider hiervoor te gebruiken. Onderzoekers ontdekten dat gecompromitteerde machines voor bijna 76% van de phishingaanvallen verantwoordelijk zijn, tegenover 17,4% die van gratis webhosting gebruik maakt. De resterende aanvallen zijn het werk van "specialistische bendes". Toch zijn zij voor het versturen van de meeste phishingberichten verantwoordelijk en daardoor waarschijnlijk ook voor het opstrijken van het meeste geld.

De onderzoekers zagen verder dat verschillende internetoplichters vaak dezelfde webservers hacken. In sommige gevallen zoeken phishers bewust naar phishingpagina's van andere oplichters, omdat ze dan weten dat ze ook op die machine kunnen inbreken. Bij bijna twintig procent van de webservers gebeurt dit binnen zes maanden. Google speelt in deze gevallen een grote rol, wat ook geldt voor het vinden van lekke software die op de webserver draait. "In dit onderzoek hebben we onomstotelijk aangetoond dat criminelen die webservers kraken voor het hosten van phishingsites, zoekmachines gebruiken om kwetsbare servers te vinden. We hebben direct bewijs van deze "kwaadaardige zoekopdrachten in 18% van onze Webalizer logs gevonden en denken dat het werkelijke misbruik nog veel hoger ligt."

Naast het onderzoek geven de onderzoekers ook tips wat webmasters kunnen doen om dit soort kwaadaardige zoekopdrachten te blokkeren, gevoelige details te verbergen of op zo'n manier te gebruiken dat men eigenaren van andere kwetsbare websites waarschuwt.