Dans un article publié le 15 octobre 2026, Remy Porter revient sur une intrusion visant le Central Register of Persons du Danemark, appelé CPR. Les données personnelles de 8,8 millions de personnes ont été exposées. The Register citait un spécialiste de la cybersécurité qui jugeait absurde de considérer un numéro d’identité délivré par l’État comme un secret. De nombreux systèmes l’utilisent pourtant comme preuve d’identité.

Des sociétés tierces peuvent accéder au CPR afin d’envoyer des notifications à leurs clients. L’un de ces comptes était protégé par le mot de passe « 123456 ». Selon un article de Politiken cité par Porter, une entreprise de Fyn avait au moins trois profils utilisant ce mot de passe. Le pirate a pénétré dans le système le 10 septembre et l’a exploré pendant dix jours. Le CPR a découvert l’intrusion le 2 octobre, en préparant une facture et en constatant que le compte avait effectué bien plus de recherches que l’entreprise ne comptait de clients. Le service autorisait ce mot de passe faible, et le prestataire l’avait choisi.

Porter décrit aussi une attaque de la chaîne d’approvisionnement visant des wallets matériels Ledger. Ces appareils conservent les clés localement et sont conçus pour rester déconnectés d’Internet. Des appareils ont été ouverts avant leur vente. Un microcontrôleur a été relié aux connexions de l’écran et un modem cellulaire a été ajouté. Le montage pouvait lire un code de récupération affiché à l’écran, puis l’envoyer à distance. Le butin a atteint près de 100 millions de dollars en cryptomonnaies.

Les appareils compromis étaient passés par Ledger pour inspection. Un emballage résistant aux manipulations était probablement utilisé, mais le point précis de l’intervention reste inconnu. La modification peut avoir eu lieu après l’inspection, si les clients n’ont pas vérifié l’emballage. Elle peut aussi être antérieure et avoir échappé au contrôle de Ledger.

Porter s’appuie sur ces deux affaires pour critiquer les modèles qui font peser la dernière obligation de sécurité sur les utilisateurs. Il reste également sceptique face aux projets blockchain. Lors d’une mission de conseil pour un grand distributeur, il avait entendu qu’une blockchain devait servir à retracer l’origine d’une épidémie d’E. coli dans la chaîne d’approvisionnement. Une base de données classique aurait fourni cette traçabilité. Dans les deux cas, des systèmes coûteux reposaient sur un secret rudimentaire ou sur la capacité des clients à repérer une manipulation matérielle.