Acredita-se que as vulnerabilidades existam nos próprios fornecedores e-mails, em vez do protocolo de criptografia PGP.
De acordo com o GNU Privacy Guard (GnuPG), o problema vem de programas de e-mail que não conseguem verificar erros de decodificação corretamente e seguem links em e-mails que incluíam código HTML.