Aanvallers kwamen binnen via inloggegevens die waren verstrekt aan een installateur van koel- en klimaattechniek met toegang op afstand tot het netwerk van Target, en bewogen van daar naar de betaalsystemen. Er werden ongeveer 40 miljoen kaartgegevens en 70 miljoen klantgegevens meegenomen. De leverancier had geen rol in betalingen en geen enkele reden om daar in de buurt te zijn.

De ene certificaatautoriteit nam stil de andere over en meldde dat niet, in strijd met de regels van het rootprogramma van de browsers die juist die melding eisen. Daarna volgden certificaten met terugwerkende datum en onjuiste uitgifte. Mozilla, Google en Apple zegden elk het vertrouwen in beide op en behandelden de verzwegen wisseling van zeggenschap als de kernovertreding.

Een auteur haalde een pakket van elf regels uit het openbare register na een geschil over een naam, en binnen enkele uren liepen wereldwijd duizenden builds vast. Niets was gecompromitteerd en niemand werd aangevallen. Het stelde vast dat een onderdeel dat niemand bewust had gekozen toch heel veel werk kon stilzetten.

Het updatekanaal van een Oekraïens product voor belastingadministratie werd gebruikt om vernietigende malware te verspreiden naar elke organisatie die het gebruikte, en die verspreidde zich van daar via verbonden netwerken. Merck en Maersk hoorden bij de bedrijven waarvan de bedrijfsvoering wekenlang stillag. De verzekeringsclaim van Merck over de schade liep op tot ongeveer 1,4 miljard dollar en vergde jaren procederen om te worden beslecht.

Een build met een achterdeur van een breed gebruikt hulpprogramma werd ondertekend met het eigen certificaat van de leverancier en verspreid via de eigen downloadinfrastructuur van de leverancier. Ongeveer 2,27 miljoen gebruikers installeerden die voordat de compromittering werd gevonden. De leverancier was kort daarvoor overgenomen, maar het bewijs wijst op een inbraak in de buildomgeving en niet op de transactie.

Een chatbotscript dat door een derde werd aangeleverd liep op betaalpagina's. De infrastructuur van de leverancier was gecompromitteerd en niet die van de verkoper, en tot negen miljoen klanten werden geraakt. De toezichthouder beboette de verkoper, die de verantwoordelijkheid voor een script dat hij niet had geschreven betwistte.

Er werden tweeëntwintig regels script toegevoegd aan code die de luchtvaartmaatschappij zelf hostte, en over drie weken werden betaalgegevens van ongeveer 429.000 mensen meegenomen. Dit was een compromittering van eigen code met dezelfde technieken, geen falen van een leverancier, en de twee worden vaak en onjuist op één hoop gegooid. De toezichthouder beboette de luchtvaartmaatschappij voor 20 miljoen pond.

Een onderhouder die was teruggetreden bij een pakket dat miljoenen keren per week werd gedownload werd benaderd door een onbekende die aanbood te helpen, en gaf publicatierechten weg. Twee maanden later bevatte een afhankelijkheid die de nieuwe onderhouder had toegevoegd een payload die op een specifieke cryptovalutawallet was gericht. Het werd drie maanden daarna gevonden, door een ontwikkelaar die de code las.

Een browserextensie met ongeveer twee miljoen gebruikers werd in 2017 overgenomen door een analyticsbedrijf. Achttien maanden later legde een onderzoeker vast dat de extensie de volledige browsegeschiedenis van iedereen die haar had geïnstalleerd terugstuurde naar de nieuwe eigenaar. Zowel Chrome als Firefox verwijderde haar binnen enkele dagen na de melding.

De ontwikkelaar van twee advertentieblokkers verkocht ze in oktober 2020 en zei dat destijds ook openlijk. Binnen ongeveer twee weken hadden de nieuwe eigenaren een update uitgebracht die gebruikersgegevens verzamelde, en werden de extensies teruggetrokken. Waar het interval bij Polyfill.io vier maanden was en bij xz-utils achtentwintig, was het hier veertien dagen.

Een updatehulpprogramma van de leverancier, correct ondertekend en geleverd vanaf de eigen servers van de leverancier, bracht een achterdeur op een groot aantal machines. Onderzoekers vonden dat de payload elke machine toetste aan een in de code vastgelegde lijst van enkele honderden netwerkadressen en op alle andere niets deed. Massale verspreiding was de bezorgmethode voor een zeer klein aantal beoogde doelwitten.

Aanvallers bereikten de buildpijplijn van een product voor netwerkbeheer en voegden code toe aan een ondertekende uitgave. Vermoedelijk hebben minder dan 18.000 klanten de getroffen versie geïnstalleerd, en bij een veel kleiner aantal hebben de aanvallers doorgezet. Het werd gevonden door een beveiligingsbedrijf dat een inbraak in zijn eigen systemen onderzocht, niet door een klant.

Een browserextensie met meer dan twee miljoen installaties werd door de ontwikkelaar verkocht aan een koper wiens identiteit niet werd gemeld. De werking veranderde niet en geen enkele update zag er ongewoon uit. Kwaadaardig gedrag verscheen vijf maanden later, en de extensie werd de februari daarop verwijderd en op afstand uitgeschakeld op de machines van gebruikers.

Ransomware werd doorgeduwd via het platform voor beheer op afstand dat beheerde dienstverleners gebruiken om de systemen van hun klanten te beheren. Tot ongeveer 1.500 bedrijven verder in de keten werden geraakt, waarvan de meeste nooit van het platform hadden gehoord. Zij waren blootgesteld via het gereedschap van hun dienstverlener en niet via iets wat zij zelf gebruikten.

Een gebrek in een Java-logbibliotheek die in een enorm aantal applicaties zat werd triviaal misbruikbaar, en organisaties waren weken bezig vast te stellen waar die bibliotheek überhaupt zat. De meeste konden die vraag niet snel beantwoorden. De haastklus ging minder over het gebrek dan over het ontbreken van enige inventaris om het aan te toetsen.

Een medewerker installeerde op een privémachine een met een trojaan besmette kopie van ongerelateerde handelssoftware. De aanvallers gebruikten de daar verkregen inloggegevens om de eigen buildomgeving van het bedrijf te bereiken en de desktopapplicatie te besmetten, die meer dan 600.000 klantorganisaties had. Het is het duidelijkst gedocumenteerde geval waarin de ene compromittering van een toeleveringsketen werd gebruikt om een tweede voor te bereiden.

Een gebrek in een product voor beheerde bestandsoverdracht werd gebruikt om gegevens te onttrekken aan de organisaties die het gebruikten en aan de veel grotere groep wier gegevens die organisaties beheerden. Trackers legden ruim meer dan 2.000 getroffen organisaties en tientallen miljoenen personen vast. Een groot deel van die personen had geen enkele relatie met de software of met de bedrijven die haar gebruikten.

Een identiteit leverde in oktober 2021 haar eerste gewone bijdrage aan een kernbibliotheek voor compressie, kreeg halverwege 2022 een grotere rol nadat een volgehouden campagne van schijnbaar ongerelateerde stemmen de enige onderhouder had aangespoord hulp te aanvaarden, en plaatste in februari 2024 een achterdeur in de buildscripts. Er gingen achtentwintig maanden voorbij zonder een frauduleuze stap om te onderkennen, want elke stap was echt tot de laatste. Het werd bij toeval gevonden, door een ingenieur die een ongerelateerd prestatieprobleem onderzocht, en het had test- en doorlopende distributies bereikt en geen stabiele uitgaven.

Het domein en de repository van een breed gebruikte scriptdienst werden in februari 2024 verkocht aan een in China ingeschreven bedrijf, en ontwikkelaars brachten die verandering diezelfde maand op in een openbaar issue in de repository. Kwaadaardige doorverwijzingen werden eind juni onafhankelijk vastgelegd en raakten meer dan 100.000 sites. De overnemende partij werd in mei 2025 door het Amerikaanse ministerie van Financiën gesanctioneerd wegens een ongerelateerde fraudeoperatie.

Een foutieve inhoudsupdate voor een beveiligingsagent zorgde ervoor dat naar schatting van Microsoft ongeveer 8,5 miljoen Windows-machines niet meer opstartten. Niets was gecompromitteerd en niemand viel iets aan. Luchtvaartmaatschappijen, ziekenhuizen en banken lagen stil omdat ze allemaal van hetzelfde onderdeel afhankelijk waren, en zo ziet concentratie eruit wanneer die bij toeval faalt.

Een gestolen toegangstoken werd gebruikt om de versielabels van een breed gebruikte actie voor doorlopende integratie te herschrijven, zodat ze verwezen naar code die buildgeheimen in openbaar leesbare logs afdrukte. Ongeveer 23.000 repository's verwezen naar de actie. Het token was enkele maanden eerder verkregen via een ongerelateerd project.

Gestolen publicatiegegevens werden gebruikt om code toe te voegen aan pakketuitgaven die vervolgens inloggegevens oogstten van de machines die ze installeerden, en die gebruikten om verdere getroffen uitgaven te publiceren. Het is het eerste gedocumenteerde geval van een zichzelf voortplantende compromittering in een groot pakketregister. In de eerste golf werden meer dan honderd pakketten geraakt.