Certificaatautoriteit Trustwave heeft een zogeheten 'organisation validated' SSL-certificaat voor verschillende PayPal-phishingdomeinen uitgegeven. SSL-certificaten worden gebruikt voor het identificeren van de website en het versleutelen van verkeer tussen bezoekers en website.

Er zijn grofweg drie verschillende categorieen van SSL-certificaten. Bij het domain-validated (DV)-certificaat wordt alleen de controle over een bepaald domein gecontroleerd. In het geval van een organisation-validated (OV)-certificaat wordt het recht van de aanvrager om een specifieke domeinnaam te gebruiken gecontroleerd alsmede een validatie van het bedrijf. Als derde is er nog het Extended Validation (EV)-certificaat, waarbij de identiteit van de eigenaar uitgebreid wordt gecontroleerd. Veel certificaten die aan misleidende domeinnamen worden toegekend zijn DV-certificaten. Vaak gaat het hier om een geautomatiseerd proces.

In het geval van de OV- en EV-certificaten zal de controle door een mensen plaatsvinden. Het is dan ook opmerkelijk dat Trustwave een OV-SSL-certificaat voor paypal-office.com, myaccount-paypal.com en paypal-sign.com heeft uitgegeven die op een PayPal-phishingsite zijn gebruikt. Het certificaat was uitgegeven aan iemand in India, zo meldt internetbedrijf Netcraft. De phishingsite is inmiddels offline gehaald, maar de certificaten zijn volgens Netcraft nog niet ingetrokken.