Jednak, tak jak w przypadku formalnego programu, JavaScript może również zostać wykorzystany do tworzenia złośliwych programów. Ponieważ skrypt można łatwo osadzić w HTML-u, autor wirusa może osadzić złośliwy skrypt w wiadomości HTML-owej. Gdy użytkownik przeczyta e-mail, nastąpi automatyczne uruchomienie skryptu.