だって、防御側が、「何も考えてない」もの。

攻撃の食い止め、ますます困難に

正規サイトを使った攻撃、初めて悪用目的のサイトを上回る

http://www.itmedia.co.jp/enterprise/articles/0801/24/news037.html

「Security」を売りにしている企業が、まともにPDCAサイクルすら回していないからね。

そりゃ、攻撃側の方が技量的にも上回るのは当たり前だよ。