Auf dem Poken selbst werden nur die Seriennummern der kontaktierten Poken gespeichert. Sämtliche Kontaktdaten müssen auf der Website des Herstellers eingegeben werden, wo eine Verknüpfung zwischen Seriennummer des Poken und dessen Besitzer möglich ist.

Mit Öffnen dieser Datei erfolgt automatisch die Anmeldung auf der Website des Herstellers, sowie die Übertragung der gesammelten Kontakte

Die initiale Verbindung zur Poken-Webseite sowie der Login sind standardmäßig nicht verschlüsselt. Gerade im Kontext von Konferenzen, wo häufig ungesicherte Netze verwendet werden, erleichtert dies das Mithören und den Missbrauch von Poken-Zugangsdaten sowie des sozialen Netzes des Benutzers.
Die verwendete Verschlüsselung bzw. Verschleierung benutzt Schlüssellängen von 64bit, was seit geraumer Zeit nicht mehr als sicher gilt. Sollte die Verschlüsselung geknackt werden, könnten beliebige Poken-IDs gefälscht oder beliebige Begegnungen synthetisiert werden.

Start_Poken.html (started by autorun.inf or by you) will navigate to the Poken website and automatically login to your Poken account. It contains a URL with the necessary data to identify you to the Poken website. Having your Poken lost or stolen is an issue (as explained in the Poken FAQ), because of the auto-login feature.

But loosing physical control over your Poken is not the only way to get your account compromised. The URL is actually the only thing needed to gain access to your account. And because this URL uses the HTTP protocol (the Poken site doesn’t support HTTPS), it’s easy to intercept on insecure networks. Insecure networks are not the only issue. Because all the data is in the URL, it will also leave a copy of the URL in different systems on a network, for example in proxy logs.