По соображениям безопасности IIS6 может отправлять 404, когда на самом деле результат должен быть запрещен или запрещен. Кто-то, пытающийся получить злонамеренный доступ, не будет предупрежден о существовании страницы, на которой он может затем сосредоточить усилия.
Не могу вспомнить, если это конфигурация по умолчанию или ее нужно включить.