Die Angreifer kamen über Zugangsdaten herein, die einem Auftragnehmer für Kälte- und Klimatechnik mit Fernzugang zum Netz von Target ausgestellt worden waren, und gelangten von dort zu den Zahlungssystemen. Rund 40 Millionen Karteneinträge und 70 Millionen Kundeneinträge wurden entwendet. Der Lieferant hatte mit Zahlungen nichts zu tun und keinen Grund, in deren Nähe zu sein.

Eine Zertifizierungsstelle erwarb still eine andere und legte es nicht offen, entgegen den Regeln der Root-Programme der Browser, die genau diese Offenlegung verlangen. Rückdatierte Zertifikate und Fehlausstellungen folgten. Mozilla, Google und Apple entzogen beiden das Vertrauen und behandelten den verheimlichten Kontrollwechsel als den Hauptverstoß.

Ein Autor entfernte nach einem Namensstreit ein elfzeiliges Paket aus dem öffentlichen Register, und tausende Builds brachen weltweit innerhalb von Stunden ab. Nichts wurde kompromittiert und niemand wurde angegriffen. Es zeigte, dass ein Bauteil, das niemand bewusst gewählt hatte, dennoch sehr viel Arbeit anhalten konnte.

Der Update-Kanal eines ukrainischen Steuerbuchhaltungsprogramms diente dazu, zerstörerische Schadsoftware an jede Organisation zu verteilen, die es einsetzte, und von dort breitete sie sich über verbundene Netze aus. Merck und Maersk waren unter den Unternehmen, deren Betrieb wochenlang stillstand. Die Versicherungsforderung von Merck für den Schaden erreichte rund 1,4 Milliarden Dollar und brauchte Jahre an Prozessen, bis sie geklärt war.

Ein mit einer Hintertür versehener Build eines weit verbreiteten Hilfsprogramms wurde mit dem eigenen Zertifikat des Anbieters signiert und über dessen eigene Download-Infrastruktur verteilt. Rund 2,27 Millionen Nutzende installierten ihn, bevor die Kompromittierung entdeckt wurde. Der Anbieter war kurz zuvor übernommen worden, doch die Nachweise deuten auf einen Einbruch in die Build-Umgebung und nicht auf die Transaktion.

Ein von einem Dritten geliefertes Chatbot-Skript lief auf Zahlungsseiten. Kompromittiert wurde die Infrastruktur des Lieferanten und nicht die des Händlers, und bis zu neun Millionen Kunden waren betroffen. Die Aufsichtsbehörde verhängte ein Bußgeld gegen den Händler, der die Verantwortung für ein Skript bestritt, das er nicht geschrieben hatte.

Zweiundzwanzig Skriptzeilen wurden zu Code hinzugefügt, den die Fluglinie selbst hostete, und über drei Wochen wurden Zahlungsdaten von rund 429.000 Personen entwendet. Es war eine Kompromittierung des eigenen Codes der Fluglinie mit denselben Techniken und kein Versagen eines fremden Lieferanten, und beides wird häufig und fälschlich zusammengeworfen. Die Aufsichtsbehörde verhängte gegen die Fluglinie ein Bußgeld von 20 Millionen Pfund.

Ein Betreuer, der sich von einem millionenfach pro Woche heruntergeladenen Paket zurückgezogen hatte, wurde von einem Unbekannten mit einem Hilfsangebot angesprochen und erteilte Veröffentlichungsrechte. Zwei Monate später trug eine vom neuen Betreuer hinzugefügte Abhängigkeit eine Nutzlast, die auf eine bestimmte Kryptowährungs-Geldbörse zielte. Entdeckt wurde sie drei Monate danach, von einem Entwickler, der den Code las.

Eine Browser-Erweiterung mit rund zwei Millionen Nutzenden wurde 2017 von einem Analyseunternehmen erworben. Achtzehn Monate später wies ein Forscher nach, dass sie den vollständigen Browserverlauf aller, die sie installiert hatten, an den neuen Eigentümer sandte. Chrome und Firefox entfernten sie innerhalb weniger Tage nach dem Bericht.

Der Entwickler zweier Werbeblocker-Erweiterungen verkaufte sie im Oktober 2020 und sagte es damals öffentlich. Binnen etwa zwei Wochen hatten die neuen Eigentümer ein Update ausgeliefert, das Nutzerdaten sammelte, und die Erweiterungen wurden entfernt. Während die Zeitspanne bei Polyfill.io vier Monate und bei xz-utils achtundzwanzig betrug, waren es hier vierzehn Tage.

Ein Update-Hilfsprogramm des Herstellers, korrekt signiert und von dessen eigenen Servern ausgeliefert, brachte eine Hintertür auf eine große Zahl von Geräten. Forschende fanden, dass die Nutzlast jedes Gerät gegen eine fest eingebaute Liste mehrerer hundert Netzadressen prüfte und auf allen übrigen nichts tat. Die Massenverteilung war der Auslieferungsweg für eine sehr kleine Zahl beabsichtigter Ziele.

Die Angreifer erreichten die Build-Kette eines Netzverwaltungsprodukts und fügten Code in eine signierte Freigabe ein. Es wird angenommen, dass weniger als 18.000 Kunden die betroffene Version installierten, und einer viel kleineren Zahl wurde weiter nachgegangen. Entdeckt wurde es von einem Sicherheitsunternehmen, das einen Einbruch in seine eigenen Systeme untersuchte, und nicht von einem Kunden.

Eine Browser-Erweiterung mit mehr als zwei Millionen Installationen wurde von ihrem Entwickler an einen Käufer verkauft, dessen Identität nicht offengelegt wurde. Die Funktion änderte sich nicht, und kein Update sah ungewöhnlich aus. Schädliches Verhalten erschien fünf Monate später, und die Erweiterung wurde im folgenden Februar entfernt und auf den Geräten der Nutzenden aus der Ferne abgeschaltet.

Erpressungssoftware wurde über die Fernverwaltungsplattform verteilt, mit der Dienstleister die Systeme ihrer Kunden betreuen. Bis zu rund 1.500 nachgelagerte Betriebe waren betroffen, von denen die meisten nie von der Plattform gehört hatten. Sie waren über die Werkzeuge ihres Dienstleisters ausgesetzt und nicht über etwas, das sie selbst betrieben.

Ein Fehler in einer Java-Protokollbibliothek, die in einer enormen Zahl von Anwendungen steckt, wurde trivial ausnutzbar, und Organisationen verbrachten Wochen mit dem Versuch festzustellen, wo die Bibliothek überhaupt war. Die meisten konnten die Frage nicht schnell beantworten. Die Hektik betraf weniger den Fehler als das Fehlen jeglichen Verzeichnisses, gegen das man ihn prüfen konnte.

Ein Mitarbeiter installierte auf einem privaten Gerät eine mit einem Trojaner versehene Kopie einer unbeteiligten Handelssoftware. Die Angreifer nutzten die dort erlangten Zugangsdaten, um die Build-Umgebung des Unternehmens selbst zu erreichen und dessen Desktop-Anwendung mit einem Trojaner zu versehen, die über 600.000 Kundenorganisationen hatte. Es ist der klarste dokumentierte Fall, in dem eine Lieferkettenkompromittierung genutzt wurde, um eine weitere vorzubereiten.

Ein Fehler in einem Produkt für verwalteten Dateitransfer diente dazu, Daten der Organisationen zu entnehmen, die es betrieben, und der viel zahlreicheren, deren Daten diese Organisationen verwahrten. Auswertungen erfassten weit über 2.000 betroffene Organisationen und Dutzende Millionen Personen. Ein großer Teil dieser Personen hatte keine Beziehung zu der Software oder zu den Unternehmen, die sie betrieben.

Eine Identität leistete im Oktober 2021 ihren ersten gewöhnlichen Beitrag zu einer zentralen Kompressionsbibliothek, erhielt Mitte 2022 eine größere Rolle, nachdem eine anhaltende Kampagne scheinbar zusammenhangloser Stimmen den einzigen Betreuer zur Annahme von Hilfe gedrängt hatte, und fügte im Februar 2024 eine Hintertür in die Build-Skripte ein. Achtundzwanzig Monate vergingen ohne einen betrügerischen Schritt, der zu entdecken gewesen wäre, denn jeder Schritt war echt bis zum letzten. Entdeckt wurde es zufällig, von einem Ingenieur, der einem unbeteiligten Leistungsproblem nachging, und es hatte Test- und laufend aktualisierte Distributionen erreicht, nicht stabile Freigaben.

Ein weit verbreiteter Skriptdienst verkaufte im Februar 2024 seine Domain und seine Code-Ablage an ein in China eingetragenes Unternehmen, und Entwickler brachten die Änderung im selben Monat in einem öffentlichen Ticket zur Sprache. Ende Juni wurden unabhängig schädliche Weiterleitungen dokumentiert, die mehr als 100.000 Seiten betrafen. Der Erwerber wurde im Mai 2025 vom Finanzministerium der Vereinigten Staaten wegen eines damit nicht zusammenhängenden Betrugsvorgangs sanktioniert.

Ein fehlerhaftes Inhaltsupdate eines Sicherheitsagenten führte laut Microsoft dazu, dass rund 8,5 Millionen Windows-Geräte nicht mehr starteten. Nichts wurde kompromittiert und niemand griff etwas an. Fluglinien, Krankenhäuser und Banken standen still, weil alle vom selben Bauteil abhingen, und so sieht Konzentration aus, wenn sie durch Zufall versagt.

Ein gestohlenes Zugangstoken diente dazu, die Versionsmarken einer weit verbreiteten Aktion für kontinuierliche Integration umzuschreiben, sodass sie auf Code zeigten, der Build-Geheimnisse in öffentlich lesbare Protokolle schrieb. Rund 23.000 Ablagen verwiesen auf diese Aktion. Das Token war einige Monate zuvor über ein unbeteiligtes Projekt erlangt worden.

Gestohlene Veröffentlichungsdaten dienten dazu, Code zu Paketfreigaben hinzuzufügen, die anschließend Zugangsdaten von den Geräten sammelten, die sie installierten, und diese nutzten, um weitere betroffene Freigaben zu veröffentlichen. Es ist der erste dokumentierte Fall einer sich selbst verbreitenden Kompromittierung in einem großen Paketregister. In der ersten Welle waren mehr als hundert Pakete betroffen.