De cijfers over het aantal besmette computers die onderdeel van een botnet zijn, zijn onnauwkeurig en opgeblazen, zo stelt het Europees agentschap voor netwerk- en informatiebeveiliging (ENISA). Het zijn echter deze cijfers die de politieke agenda en de miljoeneninvesteringen bepalen, zegt onderzoeker Giles Hogben. Het rapport dat hij voor ENISA over botnets schreef concludeert dat veel botnet cijfers waarschijnlijk onnauwkeurig zijn. Daarnaast zou zelfs een klein aantal bots voor veel schade kunnen zorgen. "Grootte is niet alles, het aantal besmette machines alleen is geen goede graadmeter van het gevaar", stelt Hogben.

Veel cijfers zijn gebaseerd op een extrapolatie van een klein aantal exemplaren. Bij een onderzoek naar het Torpig botnet werd gekeken naar het aantal IP-adressen ten opzichte van het aantal unieke bot identifiers. De onderzoekers kwamen na tien dagen op 180.000 bots uit. Zou de unieke identifier zijn gebruikt, dan was men op 1,2 miljoen besmette hosts uitgekomen. ENISA pleit dan ook voor meer transparantie in gebruikte onderzoeksmethoden door beveiligingsbedrijven.