Gli aggressori sono entrati con credenziali rilasciate a un installatore di impianti di refrigerazione e HVAC che disponeva di accesso remoto alla rete di Target, e da lì si sono spostati verso i sistemi di pagamento. Sono stati sottratti circa 40 milioni di record di carte e 70 milioni di record di clienti. Il fornitore non aveva alcun ruolo nei pagamenti e nessuna ragione per trovarsi vicino a essi.

Un’autorità di certificazione ne ha acquisita silenziosamente un’altra e non lo ha comunicato, in violazione delle regole dei programmi di root dei browser che richiedono esattamente quella comunicazione. Ne sono seguiti certificati retrodatati ed emissioni irregolari. Mozilla, Google e Apple hanno revocato la fiducia in entrambe, trattando il cambiamento di controllo occultato come la violazione principale.

Un autore ha rimosso dal registro pubblico un pacchetto di undici righe dopo una controversia sul nome, e in poche ore migliaia di build si sono interrotte in tutto il mondo. Nulla è stato compromesso e nessuno è stato attaccato. Ha dimostrato che un componente che nessuno aveva scelto deliberatamente poteva comunque fermare una grande quantità di lavoro.

Il canale di aggiornamento di un prodotto ucraino di contabilità fiscale è stato usato per distribuire malware distruttivo a ogni organizzazione che lo utilizzava, e da lì si è diffuso attraverso le reti collegate. Merck e Maersk sono state tra le aziende le cui attività si sono fermate per settimane. La richiesta di indennizzo assicurativo di Merck per la perdita è arrivata a circa 1,4 miliardi di dollari e ha richiesto anni di contenzioso per essere definita.

Una build con backdoor di un’utilità molto diffusa è stata firmata con il certificato del fornitore stesso e distribuita attraverso l’infrastruttura di download del fornitore stesso. Circa 2,27 milioni di utenti l’hanno installata prima che la compromissione fosse individuata. Il fornitore era stato acquisito poco tempo prima, ma le prove indicano un’intrusione nell’ambiente di build anziché l’operazione societaria.

Uno script di chatbot fornito da una terza parte veniva eseguito sulle pagine di pagamento. È stata compromessa l’infrastruttura del fornitore anziché quella del rivenditore, e sono stati coinvolti fino a nove milioni di clienti. L’autorità di vigilanza ha sanzionato il rivenditore, che ha contestato la responsabilità per uno script che non aveva scritto.

Ventidue righe di script sono state aggiunte a codice ospitato dalla compagnia aerea stessa, e in tre settimane sono stati sottratti i dati di pagamento di circa 429.000 persone. Si è trattato di una compromissione di prima parte realizzata con le stesse tecniche, non del cedimento di un fornitore terzo, e i due casi vengono spesso e a torto raggruppati insieme. L’autorità di vigilanza ha sanzionato la compagnia aerea per 20 milioni di sterline.

Un manutentore che si era fatto da parte da un pacchetto scaricato milioni di volte a settimana è stato contattato da uno sconosciuto che offriva aiuto, e gli ha concesso i diritti di pubblicazione. Due mesi dopo, una dipendenza aggiunta dal nuovo manutentore portava un payload rivolto a un portafoglio di criptovalute specifico. È stato individuato tre mesi più tardi, da uno sviluppatore che leggeva il codice.

Un’estensione del browser con circa due milioni di utenti è stata acquisita da una società di analytics nel 2017. Diciotto mesi dopo un ricercatore ha documentato che inviava al nuovo proprietario l’intera cronologia di navigazione di tutti coloro che l’avevano installata. Sia Chrome sia Firefox l’hanno rimossa entro pochi giorni dalla segnalazione.

Lo sviluppatore di due estensioni per il blocco della pubblicità le ha vendute nell’ottobre 2020 e all’epoca lo ha dichiarato pubblicamente. In circa due settimane i nuovi proprietari avevano distribuito un aggiornamento che raccoglieva dati degli utenti, e le estensioni sono state ritirate. Dove l’intervallo di Polyfill.io è stato di quattro mesi e quello di xz-utils di ventotto, questo è stato di due settimane.

Un’utilità di aggiornamento del produttore, firmata correttamente e servita dai server del produttore stesso, ha consegnato una backdoor a un gran numero di macchine. I ricercatori hanno scoperto che il payload confrontava ogni macchina con un elenco di alcune centinaia di indirizzi di rete incorporato nel codice, e non faceva nulla su tutte le altre. La distribuzione di massa era il mezzo di consegna per un numero molto ridotto di obiettivi voluti.

Gli aggressori hanno raggiunto la pipeline di build di un prodotto per la gestione delle reti e hanno inserito codice in un rilascio firmato. Si ritiene che meno di 18.000 clienti abbiano installato la versione interessata, e un numero molto più ridotto è stato perseguito oltre. È stato individuato da un’azienda di sicurezza che indagava su un’intrusione nei propri sistemi, non da un cliente.

Un’estensione del browser con più di due milioni di installazioni è stata venduta dal suo sviluppatore a un acquirente la cui identità non è stata comunicata. Le funzionalità non sono cambiate e nessun aggiornamento è sembrato insolito. Un comportamento malevolo è comparso cinque mesi dopo, e l’estensione è stata rimossa e disattivata a distanza sulle macchine degli utenti nel febbraio successivo.

Un ransomware è stato distribuito attraverso la piattaforma di gestione remota che i fornitori di servizi gestiti usano per amministrare i propri clienti. Sono state coinvolte fino a circa 1.500 imprese a valle, la maggior parte delle quali non aveva mai sentito parlare della piattaforma. Sono state esposte attraverso gli strumenti del proprio fornitore, anziché attraverso qualcosa che gestivano loro stesse.

Un difetto in una libreria Java per la registrazione dei log, presente in un numero enorme di applicazioni, è diventato banalmente sfruttabile, e le organizzazioni hanno passato settimane a cercare di stabilire dove quella libreria si trovasse. La maggior parte non è stata in grado di rispondere rapidamente. La corsa non riguardava tanto il difetto quanto l’assenza di qualsiasi inventario con cui verificarlo.

Un dipendente ha installato su una macchina personale una copia con trojan di un software di trading non correlato. Gli aggressori hanno usato le credenziali ottenute lì per raggiungere l’ambiente di build dell’azienda e inserire un trojan nella sua applicazione desktop, che contava oltre 600.000 organizzazioni clienti. È il caso documentato più chiaro di una compromissione della catena di fornitura usata per predisporne un’altra.

Un difetto in un prodotto per il trasferimento gestito di file è stato usato per estrarre dati dalle organizzazioni che lo utilizzavano e dalle molte altre i cui dati quelle organizzazioni detenevano. Chi ne ha tenuto il conto ha registrato ben oltre 2.000 organizzazioni interessate e decine di milioni di persone. Una quota elevata di quelle persone non aveva alcun rapporto con il software né con le aziende che lo gestivano.

Un’identità ha dato il suo primo contributo ordinario a una libreria di compressione fondamentale nell’ottobre 2021, ha ricevuto un ruolo più ampio a metà del 2022 dopo una campagna prolungata di voci apparentemente non collegate che spingevano l’unico manutentore ad accettare aiuto, e ha inserito una backdoor negli script di build nel febbraio 2024. Sono passati ventotto mesi senza alcun passaggio fraudolento da rilevare, perché ogni passaggio è stato autentico fino all’ultimo. È stato individuato per caso, da un ingegnere che indagava su un problema di prestazioni non correlato, e aveva raggiunto le distribuzioni di test e a rilascio continuo, non i rilasci stabili.

Un servizio di script molto diffuso ha visto il proprio dominio e il proprio repository venduti nel febbraio 2024 a una società registrata in Cina, e gli sviluppatori hanno sollevato il cambiamento in una segnalazione pubblica sul repository nello stesso mese. Reindirizzamenti malevoli sono stati documentati in modo indipendente a fine giugno, con effetti su più di 100.000 siti. L’acquirente è stato sanzionato dal Dipartimento del Tesoro degli Stati Uniti nel maggio 2025 per un’operazione fraudolenta non correlata.

Un aggiornamento difettoso dei contenuti di un agente di sicurezza ha impedito l’avvio a circa 8,5 milioni di macchine Windows, secondo Microsoft. Nulla è stato compromesso e nessuno ha attaccato nulla. Compagnie aeree, ospedali e banche hanno smesso di funzionare perché dipendevano tutti dallo stesso componente, ed è questo l’aspetto della concentrazione quando cede per caso.

Un token di accesso rubato è stato usato per riscrivere le etichette di versione di un’azione di integrazione continua molto diffusa, così che puntassero a codice che stampava i segreti di build in log leggibili pubblicamente. Circa 23.000 repository facevano riferimento a quell’azione. Il token era stato ottenuto alcuni mesi prima attraverso un progetto non correlato.

Credenziali di pubblicazione rubate sono state usate per aggiungere codice ai rilasci di alcuni pacchetti, codice che raccoglieva poi credenziali dalle macchine che li installavano e le usava per pubblicare ulteriori rilasci interessati. È il primo caso documentato di compromissione autopropagante in un importante registro di pacchetti. Nella prima ondata sono stati coinvolti più di cento pacchetti.