En mode CTR, deux messages ont été chiffrés par erreur avec la même clé et le même nonce. Pour l'octet situé à une certaine position, le premier texte clair P₁ vaut 01001000 (« H » en ASCII), son texte chiffré C₁ vaut 01110100 et le second texte chiffré C₂ vaut 01010101. Si l'attaquant connaît P₁, quel est le second texte clair P₂ à la même position ?

Réponse : C. 01101001

Avec la même clé et le même nonce, le flux de clé K est identique, donc C₁ = P₁ ⊕ K et C₂ = P₂ ⊕ K. On obtient d'abord K = P₁ ⊕ C₁ = 01001000 ⊕ 01110100 = 00111100, puis P₂ = C₂ ⊕ K = 01010101 ⊕ 00111100 = 01101001 (« i » en ASCII). Sans connaître la clé, il suffit de connaître l'un des textes clairs pour obtenir directement l'autre. C'est pourquoi, en mode CTR et avec GCM, ne jamais réutiliser le même nonce sous la même clé est une condition indispensable.