Websites met een veiligheidskeurmerk zijn niet per definitie veiliger dan websites zonder keurmerk en zouden zowel consumenten als eigenaren dan ook een vals gevoel van veiligheid geven, zo stellen onderzoekers die tien verschillende keurmerken onderzochten (PDF). Het gaat dan om "zegels" van onder andere Norton Secured, McAfee Secure en Hack Proof. Het onderzoek bestond uit drie onderdelen.

Ten eerste werd er gekeken naar de aanwezigheid of afwezigheid van negen beveiligingsmaatregelen, zoals het gebruiken van bepaalde attributen om cookies te beschermen. Uit deze test kwam naar voren dat websites met een veiligheidskeurmerk niet significant veel veiliger zijn dan websites zonder zegel, aangezien de beveiligingsmaatregelen niet vaker werden gebruikt.

Als tweede besloten de onderzoekers een handmatige penetratietest uit te voeren. Hiervoor benaderden ze duizend websites met een keurmerk. Slechts een handvol websites gaven een reactie en uiteindelijk stonden negen websites de penetratietest toe. Bij zeven van de negen websites werden beveiligingslekken aangetroffen, die in veel gevallen eenvoudig waren te vinden.

Webshop

Voor het derde en laatste onderdeel van de test werd er een opzettelijk kwetsbare webshop opgezet met allerlei lekken. Vervolgens lukte het om van acht partijen een zegel te krijgen. In twee gevallen kon het zegel direct op de website worden geplaatst, aangezien de partijen geen kwetsbaarheden aantroffen. Uit de serverlogs bleek dat deze keurmerken slechts beperkte scans met Nmap en Nessus hadden uitgevoerd. De overige zes partijen ontdekten wel verschillende lekken, maar de meeste kwetsbaarheden bleven onopgemerkt.

Naast het missen van de lekken zorgen de zegels er ook voor dat websites en gebruikers kunnen worden aangevallen, zo merken de onderzoekers op. Ze beschreven vier aanvalsscenario's waardoor een aanvaller via het zegel een aanval kan uitvoeren. De onderzoekers halen dan ook hard uit in hun conclusie. Ten eerste zouden veiligheidskeurmerken een vals gevoel van veiligheid geven. Daarnaast denken de eigenaren van de websites ten onrechte dat hun websites veilig zijn, waardoor ze niet meer investeren in het veiliger maken van hun website.