攻撃者は、Targetのネットワークへの遠隔アクセス権を持つ冷凍およびHVACの業務委託先に発行された資格情報を通じて侵入し、そこから決済の仕組みへ移動しました。およそ4,000万件のカード記録と7,000万件の顧客記録が持ち出されました。そのベンダーは決済に何の役割も持たず、その近くにいる理由もありませんでした。

ある認証局が別の認証局を静かに買収し、まさにその開示を求めるブラウザーのルートプログラムの規則に反して、それを開示しませんでした。日付を遡らせた証明書と誤発行が続きました。Mozilla、Google、Appleはいずれも両者への信頼を取り消し、隠された支配の変更を主たる違反として扱いました。

ある作者が、名前をめぐる争いのあとに11行のパッケージを公開レジストリから削除し、数時間のうちに世界中で数千件のビルドが壊れました。何も侵害されておらず、誰も攻撃されていません。この出来事は、誰も意図して選んだわけではない構成要素が、それでも大量の作業を止められることを示しました。

ウクライナの税務会計製品の更新経路が、それを動かしていたすべての組織へ破壊的なマルウェアを配布するために使われ、そこから接続されたネットワークを通じて広がりました。MerckとMaerskは、数週間にわたって業務が止まった企業に含まれます。Merckがこの損失について行った保険請求はおよそ14億ドルに達し、解決までに数年の訴訟を要しました。

広く使われているユーティリティに裏口を仕込んだビルドが、ベンダー自身の証明書で署名され、ベンダー自身のダウンロード基盤を通じて配布されました。侵害が見つかる前に、およそ227万人の利用者がそれを導入していました。そのベンダーは少し前に買収されていましたが、証拠は取引ではなくビルド環境への侵入を示しています。

サードパーティーが提供したチャットボットのスクリプトが、決済のページ上で動いていました。侵害されたのは小売事業者ではなく供給者の基盤であり、最大900万人の顧客が影響を受けました。規制当局は小売事業者に制裁金を課し、小売事業者は自らが書いていないスクリプトについての責任を争いました。

22行のスクリプトが、航空会社自身がホストしていたコードに追加され、3週間にわたっておよそ429,000人の決済情報が持ち出されました。これは同じ手口を用いた自社コードの侵害であり、サードパーティーの供給者の失敗ではありません。しかもこの2つは、しばしば誤って一緒に扱われます。規制当局は航空会社に2,000万ポンドの制裁金を課しました。

週に数百万回ダウンロードされるパッケージから手を引いていた保守担当者に、見知らぬ相手が手助けを申し出て接触し、担当者は公開の権限を与えました。2か月後、新しい保守担当者が追加した依存関係が、特定の暗号資産ウォレットを狙うペイロードを運んでいました。それが見つかったのはさらに3か月後で、コードを読んでいた開発者によってでした。

およそ200万人の利用者を持つブラウザー拡張機能が、2017年に分析企業に買収されました。18か月後、ある研究者が、それを導入しているすべての人の閲覧履歴の全体が新しい所有者へ送信されていることを記録しました。ChromeとFirefoxはいずれも、報告から数日のうちにそれを削除しました。

2つの広告遮断拡張機能の開発者が2020年10月にそれらを売却し、当時そのことを公に述べていました。およそ2週間のうちに、新しい所有者が利用者のデータを収集する更新を配信し、拡張機能は取り下げられました。Polyfill.ioの間隔が4か月、xz-utilsの間隔が28か月だったのに対し、これは2週間でした。

正しく署名され、ベンダー自身のサーバーから配信されたベンダーの更新ユーティリティが、多数の端末へ裏口を届けました。研究者は、そのペイロードが各端末を数百件のネットワークアドレスの組み込み一覧に照らして確認し、それ以外のどの端末でも何もしなかったことを明らかにしました。大量配布は、ごく少数の狙った標的に届けるための手段でした。

攻撃者がネットワーク管理製品のビルドの流れに到達し、署名されたリリースにコードを挿入しました。影響を受けたバージョンを導入したのは18,000社未満と見られており、さらに深く追跡されたのはそれよりはるかに少数でした。それを見つけたのは、自社の仕組みへの侵入を調査していたセキュリティ企業であり、顧客ではありませんでした。

200万件を超える導入実績を持つブラウザー拡張機能が、開発者から身元を開示されていない買い手へ売却されました。機能は変わらず、どの更新も異常には見えませんでした。悪意のある挙動は5か月後に現れ、拡張機能は翌年2月に削除され、利用者の端末上で遠隔から無効化されました。

マネージドサービスの提供者が顧客を管理するために使う遠隔管理のプラットフォームを通じて、ランサムウェアが配信されました。最大でおよそ1,500社の下流の事業者が影響を受け、そのほとんどはそのプラットフォームの名前を聞いたこともありませんでした。彼らは自ら動かしていた何かではなく、提供者の道具を通じてさらされたのです。

膨大な数のアプリケーションに存在するJavaのログ出力ライブラリの欠陥が、容易に悪用できる状態になり、組織はそのライブラリがどこにあるのかを確定しようと数週間を費やしました。ほとんどの組織は、その問いに素早く答えられませんでした。この混乱は、欠陥そのものよりも、それを照らし合わせる目録が存在しないことについてのものでした。

ある従業員が、業務と無関係な取引ソフトウェアのトロイの木馬入りの複製を私物の端末に導入しました。攻撃者はそこで得た資格情報を使って企業自身のビルド環境に到達し、600,000社を超える顧客組織を持つデスクトップアプリケーションにトロイの木馬を仕込みました。これは、あるサプライチェーン侵害が別の侵害を準備するために使われた、最も明確に記録された事例です。

管理されたファイル転送製品の欠陥が、それを動かしていた組織と、それらの組織がデータを預かっていたさらに多くの組織から、データを抽出するために使われました。追跡機関は2,000社をはるかに超える影響を受けた組織と、数千万人の個人を記録しました。それらの個人の多くは、そのソフトウェアとも、それを運用していた企業とも何の関係もありませんでした。

ある識別情報が2021年10月に中核的な圧縮ライブラリへ最初のごく普通の貢献を行い、一見無関係な声による持続的なキャンペーンが単独の保守担当者に手助けの受け入れを促したあと、2022年半ばにより大きな役割を与えられ、2024年2月にビルドのスクリプトへ裏口を挿入しました。検出すべき不正な段階が何もないまま28か月が経過しました。最後の一つを除いて、どの段階も本物だったからです。それが見つかったのは偶然であり、無関係な性能上の問題を調べていた技術者によってでした。そして到達していたのは安定版のリリースではなく、試験版と順次更新される配布版でした。

広く使われているスクリプトのサービスが、2024年2月にそのドメインとリポジトリを中国に登記された企業へ売却し、開発者たちは同じ月に公開のリポジトリの課題としてその変更を取り上げました。悪意のあるリダイレクトが6月下旬に独立して記録され、100,000を超えるサイトに影響しました。買収した企業は2025年5月に、無関係な詐欺行為をめぐって米国財務省から制裁を受けました。

セキュリティのエージェントに対する不具合のあるコンテンツ更新によって、Microsoftによればおよそ850万台のWindows端末が起動しなくなりました。何も侵害されておらず、誰も何も攻撃していません。航空会社、病院、銀行が動かなくなったのは、それらがすべて同じ構成要素に依存していたからです。それが、集中度が偶然によって壊れるときの姿です。

盗まれたアクセストークンが、広く使われている継続的インテグレーションの処理のバージョンタグを書き換えるために使われ、それらがビルドの秘密情報を公開で読めるログに出力するコードを指すようにされました。およそ23,000のリポジトリがその処理を参照していました。そのトークンは数か月前に、無関係な別の計画を通じて取得されていたものです。

盗まれた公開用の資格情報が、パッケージのリリースにコードを追加するために使われ、そのコードが導入先の端末から資格情報を収穫し、それを使ってさらに別の影響を受けたリリースを公開しました。これは主要なパッケージレジストリにおける自己増殖型の侵害として、最初に記録された事例です。最初の波で100を超えるパッケージが影響を受けました。