Nach seinen Angaben hat sich der "Kopierschutz", der sich selbst und beliebige andere Programme unsichtbar machen kann und zudem nach Hause telefoniert, seit Mitte 2004 auf einer halben Million PCs eingenistet.
Schneier kritisiert, die Antivirus-Unternehmen hätten den schädlichen Code nicht nur nicht selbst entdeckt, sondern auch mit deutlicher Zurückhaltung auf die Veröffentlichung von Mark Russinovich reagiert, der am 31. Oktober detailliert über die Sicherheitsrisiken des XCP-Schutzes berichtet hatte. Danach vergingen noch neun Tage, bis McAfee die Tarnfunktion entfernen konnte, Symantec ließ sich gar noch zwei weitere Tage damit Zeit.
Inzwischen geht der US-Bundesstaat Texas gerichtlich gegen Sony BMG vor. "Konsumenten, die eine Sony-CD gekauft haben, dachten, sie hätten Musik gekauft", kritisierte Justizminister Greg Abbott. "Stattdessen haben sie Spionagesoftware bekommen, die den Computer für Viren anfällig macht und den Benutzer möglichen Verbrechen aussetzt."
Musik-CDs mit dem gefährlichen Kopierschutz wurden nur auf dem US-Markt verkauft. Dort hat Sony inzwischen ein Umtauschprogramm angekündigt.
