Les attaquants sont entrés avec des identifiants délivrés à un prestataire de réfrigération et de climatisation disposant d'un accès distant au réseau de Target, et sont passés de là aux systèmes de paiement. Environ 40 millions d'enregistrements de cartes et 70 millions d'enregistrements de clients ont été dérobés. Le fournisseur n'avait aucun rôle dans les paiements et aucune raison d'en être proche.

Une autorité de certification en a acquis discrètement une autre et ne l'a pas déclaré, en violation des règles des programmes racine des navigateurs qui exigent précisément cette déclaration. Des certificats antidatés et des émissions indues ont suivi. Mozilla, Google et Apple ont chacun retiré leur confiance aux deux, en traitant le changement de contrôle dissimulé comme la faute principale.

Un auteur a retiré du registre public un paquet de onze lignes après un litige de nommage, et des milliers de compilations ont cessé de fonctionner dans le monde en quelques heures. Rien n'a été compromis et personne n'a été attaqué. Cela a établi qu'un composant que personne n'avait choisi délibérément pouvait tout de même arrêter une très grande quantité de travail.

Le canal de mise à jour d'un logiciel ukrainien de comptabilité fiscale a servi à distribuer un maliciel destructeur à toutes les organisations qui l'utilisaient, et il s'est propagé de là par les réseaux connectés. Merck et Maersk ont figuré parmi les sociétés dont les opérations ont été arrêtées pendant des semaines. La réclamation d'assurance de Merck au titre de la perte a atteint environ 1,4 milliard de dollars et il a fallu des années de contentieux pour la régler.

Une compilation piégée d'un utilitaire largement employé a été signée avec le certificat de l'éditeur lui-même et distribuée par sa propre infrastructure de téléchargement. Environ 2,27 millions d'utilisateurs l'ont installée avant que la compromission ne soit découverte. L'éditeur avait été racheté peu avant, mais les preuves pointent vers une intrusion dans l'environnement de compilation plutôt que vers la transaction.

Un script de dialogue automatisé fourni par un tiers s'exécutait sur des pages de paiement. C'est l'infrastructure du fournisseur qui a été compromise, non celle du distributeur, et jusqu'à neuf millions de clients ont été touchés. Le régulateur a sanctionné le distributeur, qui a contesté sa responsabilité pour un script qu'il n'avait pas écrit.

Vingt-deux lignes de script ont été ajoutées à du code hébergé par la compagnie elle-même, et les données de paiement d'environ 429 000 personnes ont été dérobées sur trois semaines. Il s'agissait d'une compromission de première partie employant les mêmes techniques, et non d'une défaillance de fournisseur tiers, et les deux sont fréquemment et à tort regroupées. Le régulateur a sanctionné la compagnie à hauteur de 20 millions de livres.

Un mainteneur qui s'était retiré d'un paquet téléchargé des millions de fois par semaine a été approché par un inconnu offrant son aide, et lui a accordé des droits de publication. Deux mois plus tard, une dépendance ajoutée par le nouveau mainteneur portait une charge visant un portefeuille de cryptomonnaie précis. Elle a été découverte trois mois après cela, par un développeur qui lisait le code.

Une extension de navigateur comptant environ deux millions d'utilisateurs a été acquise par une société d'analytique en 2017. Dix-huit mois plus tard, un chercheur a documenté qu'elle envoyait l'historique de navigation complet de tous ceux qui l'avaient installée au nouveau propriétaire. Chrome et Firefox l'ont retirée dans les jours qui ont suivi le rapport.

Le développeur de deux extensions de blocage de publicité les a vendues en octobre 2020 et l'a dit publiquement à l'époque. En deux semaines environ, les nouveaux propriétaires avaient publié une mise à jour qui collectait des données d'utilisateurs, et les extensions ont été retirées. Là où l'intervalle de Polyfill.io fut de quatre mois et celui de xz-utils de vingt-huit, celui-ci fut de quinze jours.

Un utilitaire de mise à jour du fabricant, correctement signé et servi depuis ses propres serveurs, a livré une porte dérobée à un grand nombre de machines. Les chercheurs ont constaté que la charge comparait chaque machine à une liste figée de plusieurs centaines d'adresses réseau et ne faisait rien sur toutes les autres. La distribution massive était le mode de livraison destiné à un très petit nombre de cibles visées.

Les attaquants ont atteint la chaîne de compilation d'un produit de gestion de réseau et inséré du code dans une version signée. On estime que moins de 18 000 clients ont installé la version affectée, et un nombre bien plus réduit a été poursuivi ensuite. La découverte est venue d'une société de sécurité qui enquêtait sur une intrusion dans ses propres systèmes, et non d'un client.

Une extension de navigateur comptant plus de deux millions d'installations a été vendue par son développeur à un acheteur dont l'identité n'a pas été révélée. La fonctionnalité n'a pas changé et aucune mise à jour n'a paru inhabituelle. Un comportement malveillant est apparu cinq mois plus tard, et l'extension a été retirée puis désactivée à distance sur les machines des utilisateurs en février suivant.

Un rançongiciel a été diffusé par la plateforme de gestion à distance que les prestataires de services gérés utilisent pour administrer leurs clients. Jusqu'à environ 1 500 entreprises en aval ont été touchées, dont la plupart n'avaient jamais entendu parler de la plateforme. Elles ont été exposées par l'outillage de leur prestataire et non par quoi que ce soit qu'elles exécutaient elles-mêmes.

Une faille dans une bibliothèque de journalisation Java présente dans un nombre énorme d'applications est devenue trivialement exploitable, et les organisations ont passé des semaines à tenter d'établir où se trouvait même la bibliothèque. La plupart n'ont pas pu répondre rapidement à la question. La course n'a pas tant porté sur la faille que sur l'absence de tout inventaire permettant de la vérifier.

Un employé a installé sur une machine personnelle une copie piégée d'un logiciel de négociation sans rapport avec l'entreprise. Les attaquants ont utilisé les identifiants obtenus là pour atteindre l'environnement de compilation de la société elle-même et piéger son application de bureau, qui comptait plus de 600 000 organisations clientes. C'est le cas documenté le plus clair d'une compromission de chaîne d'approvisionnement utilisée pour en préparer une autre.

Une faille dans un produit de transfert géré de fichiers a servi à extraire des données des organisations qui l'exploitaient et de celles, bien plus nombreuses, dont ces organisations détenaient les données. Les suivis ont recensé bien plus de 2 000 organisations touchées et des dizaines de millions de personnes. Une grande part de ces personnes n'avait aucune relation avec le logiciel ni avec les sociétés qui l'exploitaient.

Une identité a fait sa première contribution ordinaire à une bibliothèque de compression essentielle en octobre 2021, a reçu un rôle plus important au milieu de 2022 après une campagne soutenue de voix apparemment sans lien entre elles pressant l'unique mainteneur d'accepter de l'aide, et a inséré une porte dérobée dans les scripts de compilation en février 2024. Vingt-huit mois se sont écoulés sans aucune étape frauduleuse à détecter, car chaque étape était authentique jusqu'à la dernière. La découverte est venue par accident, d'un ingénieur qui enquêtait sur un problème de performance sans lien, et elle avait atteint des distributions de test et à publication continue, non des versions stables.

Un service de scripts largement employé a vu son domaine et son dépôt de code vendus en février 2024 à une société immatriculée en Chine, et les développeurs ont soulevé le changement dans un ticket de dépôt public le même mois. Des redirections malveillantes ont été documentées de façon indépendante fin juin, touchant plus de 100 000 sites. L'acquéreur a été sanctionné par le Trésor des États-Unis en mai 2025 au titre d'une opération de fraude sans rapport avec ce cas.

Une mise à jour de contenu défectueuse d'un agent de sécurité a empêché environ 8,5 millions de machines Windows de démarrer, selon Microsoft. Rien n'a été compromis et personne n'a rien attaqué. Des compagnies aériennes, des hôpitaux et des banques ont cessé de fonctionner parce que tous dépendaient du même composant, et voilà à quoi ressemble la concentration lorsqu'elle défaille par accident.

Un jeton d'accès volé a servi à réécrire les étiquettes de version d'une action d'intégration continue largement employée, de sorte qu'elles pointaient vers du code qui imprimait les secrets de compilation dans des journaux lisibles publiquement. Environ 23 000 dépôts référençaient cette action. Le jeton avait été obtenu quelques mois plus tôt par un projet sans rapport.

Des identifiants de publication volés ont servi à ajouter du code à des versions de paquets qui récoltaient ensuite des identifiants sur les machines qui les installaient, et s'en servaient pour publier d'autres versions affectées. C'est le premier cas documenté de compromission autopropagée dans un registre de paquets majeur. Plus de cent paquets ont été touchés lors de la première vague.