Angriperne kom inn med legitimasjon utstedt til en leverandør av kjøle- og ventilasjonsanlegg som hadde fjerntilgang til Targets nettverk, og flyttet seg derfra til betalingssystemene. Rundt 40 millioner kortposter og 70 millioner kundeposter ble tatt. Leverandøren hadde ingen rolle i betalinger og ingen grunn til å være i nærheten av dem.

Én sertifikatutsteder kjøpte stille opp en annen og opplyste ikke om det, i strid med reglene i nettlesernes rotprogrammer som krever nettopp den opplysningen. Tilbakedaterte sertifikater og feilutstedelser fulgte. Mozilla, Google og Apple trakk hver for seg tilliten til begge, og behandlet den skjulte kontrollendringen som hovedforseelsen.

En forfatter fjernet en pakke på elleve linjer fra det offentlige registeret etter en navnestrid, og tusenvis av bygg brøt sammen verden over innen timer. Ingenting ble kompromittert og ingen ble angrepet. Det fastslo at en komponent ingen hadde valgt bevisst likevel kunne stanse en stor mengde arbeid.

Oppdateringskanalen til et ukrainsk regnskapsprogram for skatt ble brukt til å distribuere ødeleggende skadevare til hver organisasjon som kjørte det, og det spredte seg derfra gjennom tilkoblede nettverk. Merck og Maersk var blant selskapene der driften stanset i uker. Mercks forsikringskrav for tapet kom opp i rundt 1,4 milliarder dollar og krevde år med rettssaker å avklare.

Et bygg med bakdør av et mye brukt verktøyprogram ble signert med leverandørens eget sertifikat og distribuert gjennom leverandørens egen nedlastingsinfrastruktur. Rundt 2,27 millioner brukere installerte det før kompromitteringen ble funnet. Leverandøren var kjøpt opp kort tid før, men bevisene peker mot en inntrengning i byggmiljøet snarere enn mot transaksjonen.

Et chatbotskript levert av en tredjepart kjørte på betalingssider. Det var leverandørens infrastruktur som ble kompromittert og ikke forhandlerens, og opptil ni millioner kunder ble berørt. Tilsynsmyndigheten ga forhandleren et gebyr, og forhandleren bestred ansvaret for et skript den ikke hadde skrevet.

Tjueto linjer skript ble lagt til kode flyselskapet selv driftet, og betalingsopplysninger for rundt 429 000 mennesker ble tatt over tre uker. Dette var en kompromittering av egen kode med de samme teknikkene, ikke en svikt hos en tredjepartsleverandør, og de to blir ofte og feilaktig slått sammen. Tilsynsmyndigheten ga flyselskapet et gebyr på 20 millioner pund.

En vedlikeholder som hadde trukket seg tilbake fra en pakke som ble lastet ned millioner av ganger i uken, ble kontaktet av en fremmed som tilbød seg å hjelpe, og ga bort publiseringsrettighetene. To måneder senere bar en avhengighet lagt til av den nye vedlikeholderen en nyttelast rettet mot en bestemt kryptovalutalommebok. Det ble funnet tre måneder etter det, av en utvikler som leste koden.

En nettleserutvidelse med rundt to millioner brukere ble kjøpt opp av et analyseselskap i 2017. Atten måneder senere dokumenterte en forsker at den sendte hele nettleserhistorikken til alle som hadde den installert, tilbake til den nye eieren. Både Chrome og Firefox fjernet den innen dager etter rapporten.

Utvikleren av to annonseblokkerende utvidelser solgte dem i oktober 2020 og sa det offentlig den gangen. Innen omtrent to uker hadde de nye eierne sendt ut en oppdatering som samlet inn brukerdata, og utvidelsene ble trukket. Der tidsrommet for Polyfill.io var fire måneder og for xz-utils tjueåtte, var dette fjorten dager.

Et oppdateringsverktøy fra produsenten, korrekt signert og levert fra produsentens egne servere, leverte en bakdør til et stort antall maskiner. Forskere fant at nyttelasten sjekket hver maskin mot en liste over flere hundre nettverksadresser som var hardkodet inn, og gjorde ingenting på alle de andre. Massedistribusjon var leveringsmåten for et svært lite antall tilsiktede mål.

Angripere nådde byggkjeden til et produkt for nettverksforvaltning og satte inn kode i en signert utgivelse. Færre enn 18 000 kunder antas å ha installert den berørte versjonen, og et mye mindre antall ble forfulgt videre. Det ble funnet av et sikkerhetsselskap som etterforsket en inntrengning i sine egne systemer, ikke av noen kunde.

En nettleserutvidelse med mer enn to millioner installasjoner ble solgt av utvikleren til en kjøper hvis identitet ikke ble opplyst. Funksjonaliteten endret seg ikke, og ingen oppdatering virket uvanlig. Ondsinnet atferd dukket opp fem måneder senere, og utvidelsen ble fjernet og slått av eksternt på brukernes maskiner i februar året etter.

Løsepengevirus ble sendt gjennom den plattformen for fjernforvaltning som forvaltede tjenesteleverandører bruker til å administrere kundene sine. Opptil rundt 1 500 nedstrøms virksomheter ble berørt, og de fleste av dem hadde aldri hørt om plattformen. De ble eksponert gjennom leverandørens verktøy og ikke gjennom noe de kjørte selv.

En feil i et Java-loggbibliotek som fantes i et enormt antall applikasjoner ble trivielt utnyttbar, og organisasjoner brukte uker på å forsøke å fastslå hvor biblioteket i det hele tatt var. De fleste kunne ikke svare på spørsmålet raskt. Kaoset handlet ikke så mye om feilen som om at det ikke fantes noen oversikt å sjekke den mot.

En ansatt installerte en trojanisert kopi av urelatert handelsprogramvare på en privat maskin. Angriperne brukte legitimasjonen de fikk der til å nå selskapets eget byggmiljø og trojanisere skrivebordsapplikasjonen dets, som hadde over 600 000 kundeorganisasjoner. Det er det klarest dokumenterte tilfellet der én kompromittering av en leverandørkjede ble brukt til å rigge en annen.

En feil i et produkt for forvaltet filoverføring ble brukt til å hente ut data fra de organisasjonene som kjørte det, og fra de mange flere hvis data de organisasjonene hadde. Sporingstjenester registrerte godt over 2 000 berørte organisasjoner og titalls millioner mennesker. En stor andel av de menneskene hadde ingen forbindelse til programvaren eller til selskapene som driftet den.

En identitet ga sitt første alminnelige bidrag til et sentralt komprimeringsbibliotek i oktober 2021, fikk en større rolle midt i 2022 etter en langvarig kampanje der tilsynelatende urelaterte stemmer presset den eneste vedlikeholderen til å ta imot hjelp, og satte inn en bakdør i byggskriptene i februar 2024. Tjueåtte måneder gikk uten noe uredelig trinn å oppdage, fordi hvert trinn var ekte inntil det siste. Det ble funnet ved et uhell, av en ingeniør som undersøkte et urelatert ytelsesproblem, og det hadde nådd test- og rullerende distribusjoner snarere enn stabile utgivelser.

En mye brukt skripttjeneste fikk domenet og kodelageret sitt solgt i februar 2024 til et selskap registrert i Kina, og utviklere tok opp endringen i en offentlig sak i kodelageret samme måned. Ondsinnede omdirigeringer ble uavhengig dokumentert i slutten av juni, og berørte mer enn 100 000 nettsteder. Kjøperen ble sanksjonert av det amerikanske finansdepartementet i mai 2025 for en urelatert svindeloperasjon.

En mangelfull innholdsoppdatering til en sikkerhetsagent førte til at rundt 8,5 millioner Windows-maskiner ikke startet opp, ifølge Microsoft. Ingenting ble kompromittert og ingen angrep noe. Flyselskaper, sykehus og banker sluttet å virke fordi de alle var avhengige av den samme komponenten, og det er slik konsentrasjon ser ut når den svikter ved et uhell.

Et stjålet tilgangstoken ble brukt til å skrive om versjonsmerkene til en mye brukt handling for løpende integrasjon, slik at de pekte på kode som skrev ut bygghemmeligheter til logger som var offentlig lesbare. Rundt 23 000 kodelagre viste til handlingen. Tokenet var innhentet noen måneder tidligere gjennom et urelatert prosjekt.

Stjålet publiseringslegitimasjon ble brukt til å legge kode i pakkeutgivelser, og den koden hentet deretter legitimasjon fra maskinene som installerte dem, og brukte den til å publisere flere berørte utgivelser. Det er det første dokumenterte tilfellet av en selvspredende kompromittering i et stort pakkeregister. Mer enn hundre pakker ble berørt i den første bølgen.