Los atacantes entraron con credenciales emitidas a un contratista de refrigeración y climatización que tenía acceso remoto a la red de Target, y desde ahí llegaron a los sistemas de pago. Se sustrajeron en torno a 40 millones de registros de tarjetas y 70 millones de registros de clientes. El proveedor no tenía ningún papel en los pagos ni motivo alguno para estar cerca de ellos.

Una autoridad de certificación adquirió discretamente a otra y no lo comunicó, incumpliendo las reglas de los programas raíz de los navegadores que exigen precisamente esa comunicación. Siguieron certificados con fecha retroactiva y emisiones indebidas. Mozilla, Google y Apple retiraron la confianza a las dos, y trataron el cambio de control ocultado como la falta principal.

Un autor retiró del registro público un paquete de once líneas tras una disputa por el nombre, y miles de compilaciones se rompieron en todo el mundo en cuestión de horas. Nada quedó comprometido y nadie fue atacado. Estableció que un componente que nadie había elegido deliberadamente podía, aun así, detener una enorme cantidad de trabajo.

El canal de actualización de un producto ucraniano de contabilidad fiscal se utilizó para distribuir malware destructivo a todas las organizaciones que lo ejecutaban, y desde ahí se propagó por las redes conectadas. Merck y Maersk estuvieron entre las empresas cuyas operaciones quedaron detenidas durante semanas. La reclamación de Merck a su seguro por la pérdida ascendió a unos 1.400 millones de dólares y tardó años de litigio en resolverse.

Una compilación con puerta trasera de una utilidad de uso extendido se firmó con el propio certificado del fabricante y se distribuyó por su propia infraestructura de descarga. En torno a 2,27 millones de usuarios la instalaron antes de que se descubriera el compromiso. El fabricante había sido adquirido poco antes, pero la evidencia apunta a una intrusión en el entorno de compilación y no a la transacción.

Un script de chatbot suministrado por un tercero se estaba ejecutando en páginas de pago. Lo que quedó comprometido fue la infraestructura del proveedor, no la del comerciante, y se vieron afectados hasta nueve millones de clientes. El regulador multó al comerciante, que discutió su responsabilidad por un script que no había escrito.

Se añadieron veintidós líneas de script a código alojado por la propia aerolínea, y se sustrajeron los datos de pago de unas 429.000 personas a lo largo de tres semanas. Este fue un compromiso de primera parte con las mismas técnicas, no un fallo de un proveedor externo, y los dos se agrupan con frecuencia y de forma equivocada. El regulador multó a la aerolínea con 20 millones de libras.

A un mantenedor que se había retirado de un paquete descargado millones de veces por semana lo abordó un desconocido que ofrecía ayuda, y le concedió derechos de publicación. Dos meses después, una dependencia añadida por el nuevo mantenedor llevaba una carga dirigida a un monedero de criptomonedas concreto. Se descubrió tres meses más tarde, por un desarrollador que leyó el código.

Una extensión de navegador con unos dos millones de usuarios fue adquirida por una empresa de analítica en 2017. Dieciocho meses después, un investigador documentó que enviaba el historial de navegación completo de todos los que la tenían instalada al nuevo propietario. Chrome y Firefox la retiraron pocos días después del informe.

El desarrollador de dos extensiones de bloqueo de publicidad las vendió en octubre de 2020 y lo dijo públicamente en aquel momento. En unas dos semanas, los nuevos propietarios habían publicado una actualización que recogía datos de los usuarios, y las extensiones fueron retiradas. Donde el intervalo de Polyfill.io fue de cuatro meses y el de xz-utils de veintiocho, este fue de quince días.

Una utilidad de actualización del fabricante, correctamente firmada y servida desde sus propios servidores, entregó una puerta trasera a un gran número de máquinas. Los investigadores comprobaron que la carga verificaba cada máquina contra una lista fija de varios cientos de direcciones de red y no hacía nada en ninguna de las demás. La distribución masiva fue el método de entrega para un número muy pequeño de objetivos buscados.

Los atacantes alcanzaron la cadena de compilación de un producto de gestión de redes e insertaron código en una versión firmada. Se cree que menos de 18.000 clientes instalaron la versión afectada, y se persiguió después a un número mucho menor. Lo descubrió una firma de seguridad que investigaba una intrusión en sus propios sistemas, no ningún cliente.

Una extensión de navegador con más de dos millones de instalaciones fue vendida por su desarrollador a un comprador cuya identidad no se reveló. La funcionalidad no cambió y ninguna actualización pareció inusual. El comportamiento malicioso apareció cinco meses después, y la extensión fue retirada y desactivada en remoto en las máquinas de los usuarios el febrero siguiente.

Se distribuyó ransomware a través de la plataforma de gestión remota que los proveedores de servicios gestionados usan para administrar a sus clientes. Se vieron afectados hasta unos 1.500 negocios aguas abajo, la mayoría de los cuales nunca había oído hablar de la plataforma. Quedaron expuestos a través de las herramientas de su proveedor, y no por nada que ejecutaran ellos mismos.

Un fallo en una biblioteca de registro de Java presente en un número enorme de aplicaciones se volvió explotable de forma trivial, y las organizaciones pasaron semanas intentando establecer dónde estaba siquiera la biblioteca. La mayoría no pudo responder rápido a la pregunta. La carrera no fue tanto por el fallo como por la ausencia de cualquier inventario contra el que comprobarlo.

Un empleado instaló en una máquina personal una copia troyanizada de un software de trading sin relación con la empresa. Los atacantes usaron las credenciales obtenidas ahí para llegar al entorno de compilación de la propia empresa y troyanizar su aplicación de escritorio, que tenía más de 600.000 organizaciones cliente. Es el caso documentado más claro de un compromiso de cadena de suministro utilizado para montar otro.

Un fallo en un producto de transferencia gestionada de archivos se utilizó para extraer datos de las organizaciones que lo ejecutaban y de las muchas más cuyos datos esas organizaciones custodiaban. Los registros contabilizaron bastante más de 2.000 organizaciones afectadas y decenas de millones de personas. Una parte importante de esas personas no tenía ninguna relación con el software ni con las empresas que lo operaban.

Una identidad hizo su primera contribución ordinaria a una biblioteca de compresión esencial en octubre de 2021, recibió un papel mayor a mediados de 2022 tras una campaña sostenida de voces aparentemente ajenas entre sí que presionaron al único mantenedor para que aceptara ayuda, e insertó una puerta trasera en los scripts de compilación en febrero de 2024. Transcurrieron veintiocho meses sin ningún paso fraudulento que detectar, porque cada paso fue auténtico hasta el último. Se descubrió por accidente, por un ingeniero que investigaba un problema de rendimiento sin relación, y había llegado a distribuciones de prueba y de actualización continua, no a versiones estables.

Un servicio de scripts de uso extendido vendió su dominio y su repositorio en febrero de 2024 a una empresa registrada en China, y los desarrolladores plantearon el cambio en una incidencia de un repositorio público ese mismo mes. A finales de junio se documentaron de forma independiente redirecciones maliciosas que afectaban a más de 100.000 sitios. El adquirente fue sancionado por el Tesoro de Estados Unidos en mayo de 2025 por una operación de fraude sin relación con este caso.

Una actualización de contenido defectuosa de un agente de seguridad provocó que en torno a 8,5 millones de máquinas Windows no arrancaran, según Microsoft. Nada quedó comprometido y nadie atacó nada. Aerolíneas, hospitales y bancos dejaron de funcionar porque todos dependían del mismo componente, y así es como se ve la concentración cuando falla por accidente.

Se utilizó un token de acceso robado para reescribir las etiquetas de versión de una acción de integración continua de uso extendido, de modo que apuntaran a código que imprimía los secretos de compilación en registros de lectura pública. Unos 23.000 repositorios hacían referencia a esa acción. El token se había obtenido algunos meses antes a través de un proyecto sin relación.

Se utilizaron credenciales de publicación robadas para añadir código a versiones de paquetes que después recogían credenciales de las máquinas que las instalaban, y las usaban para publicar nuevas versiones afectadas. Es el primer caso documentado de un compromiso autopropagante en un registro de paquetes importante. Más de cien paquetes se vieron afectados en la primera oleada.