공격자는 Target의 네트워크에 원격 접근 권한을 가진 냉동 및 HVAC 업무 수탁자에게 발급된 자격 증명을 통해 침입하여, 거기에서 결제 시스템으로 이동했습니다. 약 4,000만 건의 카드 기록과 7,000만 건의 고객 기록이 빠져나갔습니다. 그 벤더는 결제에 아무 역할도 없었고 그 근처에 있을 이유도 없었습니다.

한 인증 기관이 다른 인증 기관을 조용히 인수하고 그것을 공개하지 않았으며, 이는 바로 그 공개를 요구하는 브라우저 루트 프로그램 규칙을 위반한 것이었습니다. 소급 발급된 인증서와 오발급이 이어졌습니다. Mozilla, Google, Apple은 각각 양쪽에 대한 신뢰를 제거했으며, 은폐된 지배력 변경을 주된 위반으로 다루었습니다.

한 작성자가 이름 분쟁 끝에 열한 줄짜리 패키지를 공개 레지스트리에서 삭제했고, 몇 시간 안에 전 세계에서 수천 건의 빌드가 깨졌습니다. 침해된 것은 없었고 누구도 공격받지 않았습니다. 이 일은 누구도 의도적으로 선택하지 않은 구성 요소가 그래도 아주 많은 작업을 멈춰 세울 수 있다는 것을 확정했습니다.

우크라이나의 세무 회계 제품의 갱신 경로가 그것을 운영하는 모든 조직에 파괴적인 악성 코드를 배포하는 데 쓰였고, 거기에서 연결된 네트워크를 통해 퍼졌습니다. Merck와 Maersk는 몇 주 동안 운영이 멈춘 회사에 속했습니다. 그 손실에 대한 Merck의 보험 청구는 약 14억 달러에 이르렀고 해결까지 여러 해의 소송이 걸렸습니다.

널리 쓰이는 유틸리티의 백도어가 심긴 빌드가 벤더 자신의 인증서로 서명되어 벤더 자신의 다운로드 인프라를 통해 배포되었습니다. 침해가 발견되기 전에 약 227만 명의 사용자가 그것을 설치했습니다. 그 벤더는 바로 얼마 전에 인수되었으나, 증거는 그 거래보다 빌드 환경에의 침입을 가리킵니다.

서드파티가 제공한 챗봇 스크립트가 결제 페이지에서 실행되고 있었습니다. 침해된 것은 소매업체가 아니라 그 공급업체의 인프라였고, 최대 900만 명의 고객이 영향을 받았습니다. 규제 당국은 소매업체에 과징금을 부과했고, 소매업체는 자신이 작성하지 않은 스크립트에 대한 책임을 다투었습니다.

스크립트 스물두 줄이 항공사 자신이 호스팅하던 코드에 추가되었고, 3주에 걸쳐 약 429,000명의 결제 정보가 빠져나갔습니다. 이는 서드파티 공급업체의 실패가 아니라 같은 기법을 사용한 퍼스트파티 침해이며, 이 둘은 자주 그리고 잘못 한데 묶입니다. 규제 당국은 그 항공사에 2,000만 파운드의 과징금을 부과했습니다.

주당 수백만 번 내려받아지는 패키지에서 한발 물러나 있던 유지관리자에게 낯선 사람이 돕겠다고 접근했고, 그는 배포 권한을 부여했습니다. 두 달 뒤 새 유지관리자가 추가한 의존 관계가 특정 암호화폐 지갑을 노리는 페이로드를 담고 있었습니다. 그것은 그로부터 석 달 뒤에 코드를 읽던 한 개발자에 의해 발견되었습니다.

사용자가 약 200만 명인 브라우저 확장 기능이 2017년에 한 분석 회사에 인수되었습니다. 열여덟 달 뒤 한 연구자는 그것이 설치한 모든 사람의 전체 열람 기록을 새 소유자에게 보내고 있다는 것을 문서화했습니다. Chrome과 Firefox는 그 보고가 나온 며칠 안에 그것을 제거했습니다.

두 개의 광고 차단 확장 기능의 개발자가 2020년 10월에 그것을 매각하고 당시에 그 사실을 공개적으로 밝혔습니다. 약 2주 안에 새 소유자들은 사용자 데이터를 수집하는 갱신을 내보냈고, 그 확장 기능은 내려졌습니다. Polyfill.io의 간격이 4개월이고 xz-utils의 간격이 28개월이었던 데 비해, 이번 것은 2주였습니다.

올바르게 서명되어 벤더 자신의 서버에서 제공된 벤더 갱신 유틸리티가 많은 수의 기계에 백도어를 전달했습니다. 연구자들은 그 페이로드가 각 기계를 수백 개의 네트워크 주소로 이루어진 하드코딩된 목록과 대조하고 나머지 어느 것에도 아무 일도 하지 않았다는 것을 확인했습니다. 대량 배포는 매우 적은 수의 의도된 표적을 위한 전달 수단이었습니다.

공격자가 어느 네트워크 관리 제품의 빌드 파이프라인에 도달하여 서명된 릴리스에 코드를 삽입했습니다. 영향을 받은 버전을 설치한 고객은 18,000곳 미만으로 추정되며, 그 가운데 훨씬 적은 수가 더 깊이 추적되었습니다. 그것은 어느 고객이 아니라 자사 시스템에의 침입을 조사하던 한 보안 회사가 발견했습니다.

설치 수가 200만을 넘는 브라우저 확장 기능이 개발자에 의해 신원이 공개되지 않은 매수자에게 매각되었습니다. 기능은 바뀌지 않았고 어떤 갱신도 이상하게 보이지 않았습니다. 악의적인 동작은 다섯 달 뒤에 나타났고, 그 확장 기능은 이듬해 2월에 제거되어 사용자의 기계에서 원격으로 비활성화되었습니다.

관리형 서비스 제공업체가 고객을 관리하는 데 사용하는 원격 관리 플랫폼을 통해 랜섬웨어가 내보내졌습니다. 하류의 최대 약 1,500곳의 사업체가 영향을 받았으며, 그 대부분은 그 플랫폼에 대해 들어본 적조차 없었습니다. 그들은 자신이 운영하는 무엇을 통해서가 아니라 자신의 제공업체의 도구를 통해 노출되었습니다.

엄청나게 많은 애플리케이션에 들어 있던 Java 로깅 라이브러리의 결함이 손쉽게 악용할 수 있는 것이 되었고, 조직들은 그 라이브러리가 대체 어디에 있는지 확정하려고 몇 주를 보냈습니다. 대부분은 그 질문에 빠르게 답할 수 없었습니다. 그 혼란은 결함에 관한 것이라기보다 그것을 대조해 볼 목록이 전혀 없다는 데 관한 것이었습니다.

한 직원이 개인 기계에 관련 없는 거래 소프트웨어의 트로이 목마가 심긴 사본을 설치했습니다. 공격자는 거기에서 얻은 자격 증명을 사용해 회사 자신의 빌드 환경에 도달하여 데스크톱 애플리케이션에 트로이 목마를 심었고, 그 애플리케이션의 고객 조직은 60만 곳이 넘었습니다. 이는 하나의 공급망 침해가 다른 침해를 준비하는 데 쓰인 가장 분명하게 문서화된 사례입니다.

관리형 파일 전송 제품의 결함이 그것을 운영하는 조직과 그 조직이 데이터를 보유하던 훨씬 더 많은 곳에서 데이터를 빼내는 데 쓰였습니다. 추적 기관들은 영향을 받은 조직이 2,000곳을 훌쩍 넘고 개인이 수천만 명에 이른다고 기록했습니다. 그 개인 가운데 상당 비율은 그 소프트웨어와도, 그것을 운영하는 회사와도 아무 관계가 없었습니다.

한 기여자가 2021년 10월에 핵심 압축 라이브러리에 첫 평범한 기여를 했고, 겉보기에 관련 없는 목소리들이 단독 유지관리자에게 도움을 받아들이라고 압박하는 활동이 이어진 뒤 2022년 중반에 더 큰 역할을 부여받았으며, 2024년 2월에 빌드 스크립트에 백도어를 삽입했습니다. 탐지할 부정한 단계 없이 스물여덟 달이 흘렀으며, 마지막 하나를 빼면 모든 단계가 진짜였기 때문입니다. 그것은 관련 없는 성능 문제를 조사하던 한 엔지니어가 우연히 발견했고, 안정 릴리스가 아니라 테스트 배포판과 롤링 배포판까지 도달해 있었습니다.

널리 쓰이던 스크립트 서비스가 2024년 2월에 도메인과 리포지터리를 중국에 등기된 회사에 매각했고, 개발자들은 같은 달 공개 리포지터리 이슈에서 그 변경을 제기했습니다. 악의적인 리다이렉트가 6월 말에 독립적으로 문서화되었고, 10만 곳이 넘는 사이트가 영향을 받았습니다. 그 인수자는 관련 없는 사기 행위를 이유로 2025년 5월에 미국 재무부의 제재를 받았습니다.

보안 에이전트에 대한 결함 있는 콘텐츠 갱신으로 인해 Microsoft에 따르면 약 850만 대의 Windows 기계가 부팅하지 못했습니다. 침해된 것은 없었고 누구도 무엇도 공격하지 않았습니다. 항공사, 병원, 은행이 멈춰 선 것은 모두가 같은 구성 요소에 의존했기 때문이며, 그것이 집중도가 우연히 실패할 때의 모습입니다.

탈취된 접근 토큰이 널리 쓰이는 지속적 통합 액션의 버전 태그를 다시 쓰는 데 사용되어, 그 태그가 빌드 비밀 정보를 공개적으로 읽을 수 있는 로그에 출력하는 코드를 가리키게 되었습니다. 약 23,000개의 리포지터리가 그 액션을 참조하고 있었습니다. 그 토큰은 몇 달 전에 관련 없는 프로젝트를 통해 취득된 것이었습니다.

탈취된 배포 자격 증명이 패키지 릴리스에 코드를 추가하는 데 사용되었고, 그 코드는 그것을 설치한 기계에서 자격 증명을 수집한 뒤 그것으로 영향을 받은 릴리스를 더 배포했습니다. 이는 주요 패키지 레지스트리에서 스스로 번지는 침해가 문서화된 첫 사례입니다. 첫 물결에서 100개가 넘는 패키지가 영향을 받았습니다.