他のブラウザーではURLも表示されるが、フィッシング用のドメインを使用すれば気付かれにくくなる。Internet ExplorerやMicrosoft Edgeでは1クリック、Mozilla Firefoxでは2クリックで発行先企業の所在地情報を確認できるものの、一見して本物かどうかを確認するのは難しい。Google Chromeの最近のバージョンではシステムの証明書ビューアを2クリックで表示できるが、一般ユーザー向けではない。

Carroll氏は会社設立に100ドル、EV証明書発行に77ドルを支払い、1時間ほどの作業でEV証明書を取得できたという。会社設立からEV証明書が発行されるまでの時間は48時間程度だったとのこと。本人確認情報はCarroll氏自身のものを使用しているが、最低限の確認しか行われないため、盗まれた身分証明書などを使用することも可能とみられる。

Burton氏が「Identity Verified」でEV証明書を取得したことが公表されて以来、CA/Browser Forumでは審査方法の見直しが議論されているそうだ。CA/Browser ForumのBaseline Requirementsでは詐欺に使われそうな名称をリスクの高い証明書リクエストの一つに挙げているが、フィッシングのターゲットに使われるような名称のリストの維持は証明機関次第だとCarroll氏は指摘する。また、SafariのようにEV証明書が重要なユーザーインターフェイスをオーバーライドする仕様など、ブラウザー側にも修正すべき点があるとのことだ。