１．登録 web 利用者がシールをクリックする（登録 web サイト） ベリサイン社の黄金のシールを表示している web を訪れた利用者が、その web の認証情報を確認するためにシールをクリックする。 この時シールのリンクのリクエストは下記である https://www.verisign.co.jp/secure/Seal.cgi? 特定のコードSeal.cgi?のパラメータとして指定されている特定のコードが登録 web サイトを特定するために用いられるものと思われる。
２．ボタン表示（ベリサイン社 web サイト） シールをクリックすると、ボタンだけ表示された画面になる。この利用者はこのボタンを押すようもとめられる。この時、 web はすでにベリサイン社に移動している。 ブラウザに表示されるのは、ボタンだけであるが、実際には、HIDDEN属性でさまざまな情報が含まれている。この段階ですでに「３．」で認証情報として表示する情報がほとんど含まれている。 この段階でHIDDEN属性の内容を書き換えてしまえば、そのまま認証情報として表示できそうなことは容易に想像できる。
３．認証情報表示（ベリサイン社 web サイト） 利用者がボタンを押すと、認証情報が表示される。 「２．」の段階でHIDDEN属性とされていたものを表示する。 つまり、「２．」の内容を改竄あるいは、同じ書式でまったく異なる内容を作成し「３．」を呼び出すことで任意の内容を表示させることが可能となる。
「Secure Site シール」ならびに3月7日に本誌が発見した問題は、いずれも web 表示の際に、テンプレートと表示データを生のファイルが推定できる形で指定していたことに起因している。 生のファイルおよびディレクトリが推定できることは、そこからさまざまな推定を行うことができるために大変危険といえる。 あらゆるプログラムに、必ずなんらかの問題点は存在する。問題発生を防ぐためにできることは、可能な限り問題を減らすことと問題点を発見されにくくすることである。外部に対して、問題点の推定を可能とするような情報が見えてしまうプログラムは好ましくないと考えられる。
