Napastnicy weszli przez dane uwierzytelniające wydane wykonawcy instalacji chłodniczych i wentylacyjnych, który miał zdalny dostęp do sieci Target, i przeszli stamtąd do systemów płatniczych. Zabrano około 40 milionów zapisów o kartach i 70 milionów zapisów o klientach. Dostawca nie miał żadnej roli w płatnościach ani żadnego powodu, aby się przy nich znajdować.

Jeden urząd certyfikacji po cichu nabył drugi i tego nie ujawnił, naruszając zasady programu zaufanych certyfikatów przeglądarek, które wymagają dokładnie takiego ujawnienia. Potem pojawiły się certyfikaty z datami wstecznymi i przypadki nieprawidłowego wydawania. Mozilla, Google i Apple odebrały zaufanie obu, traktując zatajoną zmianę kontroli jako główne naruszenie.

Autor usunął z publicznego rejestru pakiet o jedenastu wierszach po sporze o nazwę, a w ciągu kilku godzin na całym świecie przestały działać tysiące kompilacji. Nic nie zostało naruszone i nikogo nie zaatakowano. Ustaliło to, że element, którego nikt nie wybrał świadomie, może jednak zatrzymać bardzo dużo pracy.

Kanał aktualizacji ukraińskiego programu do rachunkowości podatkowej wykorzystano do rozprowadzenia niszczącego oprogramowania złośliwego do każdej organizacji, która go używała, a stamtąd rozeszło się przez połączone sieci. Merck i Maersk były wśród firm, których działalność stanęła na tygodnie. Roszczenie ubezpieczeniowe Merck z tytułu tej straty wyniosło około 1,4 miliarda dolarów, a jego rozstrzygnięcie zajęło lata postępowań.

Kompilację powszechnie używanego narzędzia z furtką podpisano własnym certyfikatem dostawcy i rozprowadzono przez własną infrastrukturę pobierania dostawcy. Zainstalowało ją około 2,27 miliona użytkowników, zanim naruszenie wykryto. Dostawcę nabyto krótko wcześniej, ale dowody wskazują na włamanie do środowiska kompilacji, a nie na tę transakcję.

Skrypt czatbota dostarczony przez podmiot zewnętrzny działał na stronach płatności. Naruszona została infrastruktura dostawcy, a nie sprzedawcy, i dotknęło to do dziewięciu milionów klientów. Organ nadzoru ukarał sprzedawcę, który zakwestionował odpowiedzialność za skrypt, którego nie napisał.

Do kodu hostowanego przez samą linię lotniczą dodano dwadzieścia dwa wiersze skryptu, a przez trzy tygodnie zabrano dane płatnicze około 429 000 osób. Było to naruszenie kodu własnego przy użyciu tych samych technik, a nie porażka dostawcy zewnętrznego, i te dwa przypadki często i błędnie łączy się razem. Organ nadzoru ukarał linię lotniczą grzywną 20 milionów funtów.

Do opiekuna, który wycofał się z pakietu pobieranego miliony razy w tygodniu, zwrócił się nieznajomy z ofertą pomocy, a opiekun przekazał mu prawa do publikowania. Dwa miesiące później zależność dodana przez nowego opiekuna zawierała ładunek skierowany na konkretny portfel kryptowalut. Trzy miesiące później wykrył to programista czytający kod.

Rozszerzenie przeglądarki z około dwoma milionami użytkowników nabyła w 2017 roku firma analityczna. Osiemnaście miesięcy później badacz udokumentował, że odsyłało ono pełną historię przeglądania każdego, kto je zainstalował, do nowego właściciela. Zarówno Chrome, jak i Firefox usunęły je w ciągu kilku dni od tego zgłoszenia.

Twórca dwóch rozszerzeń blokujących reklamy sprzedał je w październiku 2020 roku i wtedy publicznie o tym powiedział. W ciągu około dwóch tygodni nowi właściciele wydali aktualizację zbierającą dane użytkowników, a rozszerzenia wycofano. Tam, gdzie odstęp dla Polyfill.io wyniósł cztery miesiące, a dla xz-utils dwadzieścia osiem, tutaj wyniósł dwa tygodnie.

Narzędzie aktualizacji dostawcy, poprawnie podpisane i podawane z własnych serwerów dostawcy, dostarczyło furtkę na dużą liczbę maszyn. Badacze ustalili, że ładunek porównywał każdą maszynę z wpisaną w kod listą kilkuset adresów sieciowych i na wszystkich pozostałych nie robił nic. Masowe rozpowszechnienie było sposobem dostarczenia do bardzo niewielkiej liczby zamierzonych celów.

Napastnicy dotarli do potoku kompilacji produktu do zarządzania siecią i wstawili kod do podpisanego wydania. Uważa się, że dotkniętą wersję zainstalowało mniej niż 18 000 klientów, a wobec znacznie mniejszej liczby prowadzono dalsze działania. Wykryła to firma bezpieczeństwa badająca włamanie do własnych systemów, a nie którykolwiek klient.

Rozszerzenie przeglądarki z ponad dwoma milionami instalacji twórca sprzedał nabywcy, którego tożsamości nie ujawniono. Działanie się nie zmieniło i żadna aktualizacja nie wyglądała niezwykle. Złośliwe zachowanie pojawiło się pięć miesięcy później, a rozszerzenie usunięto i zdalnie wyłączono na maszynach użytkowników w lutym następnego roku.

Oprogramowanie wymuszające okup przepchnięto przez platformę zdalnego zarządzania, z której dostawcy usług zarządzanych korzystają, aby administrować systemami swoich klientów. Dotknęło to do około 1 500 przedsiębiorstw dalej w łańcuchu, z których większość nigdy nie słyszała o tej platformie. Były narażone przez narzędzia swojego dostawcy, a nie przez cokolwiek, co uruchamiały same.

Wada w bibliotece dziennika dla języka Java, obecnej w ogromnej liczbie aplikacji, stała się trywialnie wykorzystywalna, a organizacje tygodniami próbowały ustalić, gdzie ta biblioteka w ogóle się znajduje. Większość nie potrafiła odpowiedzieć na to pytanie szybko. Ten pośpiech dotyczył nie tyle samej wady, ile braku jakiejkolwiek inwentaryzacji, z którą można by ją porównać.

Pracownik zainstalował na prywatnej maszynie kopię niepowiązanego oprogramowania do handlu, zawierającą konia trojańskiego. Napastnicy wykorzystali zdobyte tam dane uwierzytelniające, aby dotrzeć do własnego środowiska kompilacji firmy i umieścić konia trojańskiego w jej aplikacji stacjonarnej, która miała ponad 600 000 organizacji klienckich. Jest to najwyraźniej udokumentowany przypadek wykorzystania jednego naruszenia łańcucha dostaw do przygotowania drugiego.

Wadę w produkcie do zarządzanego przesyłania plików wykorzystano, aby wydobyć dane z organizacji, które go używały, oraz z wielu innych, których dane te organizacje przechowywały. Rejestry zanotowały znacznie ponad 2 000 dotkniętych organizacji i dziesiątki milionów osób. Duża część tych osób nie miała żadnej relacji ani z tym oprogramowaniem, ani z firmami, które je obsługiwały.

Tożsamość wniosła swój pierwszy zwyczajny wkład do podstawowej biblioteki kompresji w październiku 2021 roku, otrzymała większą rolę w połowie 2022 roku po długotrwałej kampanii pozornie niepowiązanych głosów naciskających na jedynego opiekuna, aby przyjął pomoc, a w lutym 2024 roku wstawiła furtkę do skryptów kompilacji. Minęło dwadzieścia osiem miesięcy bez żadnego oszukańczego kroku do wychwycenia, bo każdy krok był prawdziwy aż do ostatniego. Wykryto to przypadkiem, gdy inżynier badał niepowiązany problem z wydajnością, a furtka dotarła do dystrybucji testowych i kroczących, a nie do wydań stabilnych.

Domenę i repozytorium powszechnie używanej usługi skryptowej sprzedano w lutym 2024 roku firmie zarejestrowanej w Chinach, a programiści podnieśli tę zmianę w publicznym zgłoszeniu w repozytorium w tym samym miesiącu. Złośliwe przekierowania udokumentowano niezależnie pod koniec czerwca i dotknęły one ponad 100 000 witryn. Nabywcę objął sankcjami Departament Skarbu Stanów Zjednoczonych w maju 2025 roku za niepowiązaną działalność oszukańczą.

Wadliwa aktualizacja treści dla agenta bezpieczeństwa sprawiła, że według Microsoftu około 8,5 miliona maszyn z systemem Windows nie zdołało się uruchomić. Nic nie zostało naruszone i nikt niczego nie zaatakował. Linie lotnicze, szpitale i banki przestały działać, bo wszystkie zależały od tego samego elementu, i tak wygląda koncentracja, gdy zawodzi przypadkiem.

Ukradziony token dostępu wykorzystano, aby przepisać znaczniki wersji powszechnie używanej akcji ciągłej integracji tak, by wskazywały kod wypisujący sekrety kompilacji do publicznie czytelnych dzienników. Do tej akcji odwoływało się około 23 000 repozytoriów. Token zdobyto kilka miesięcy wcześniej przez niepowiązany projekt.

Ukradzione dane do publikowania wykorzystano, aby dodać do wydań pakietów kod, który następnie zbierał dane uwierzytelniające z maszyn instalujących te pakiety i używał ich do publikowania kolejnych dotkniętych wydań. Jest to pierwszy udokumentowany przypadek naruszenia samorozprzestrzeniającego się w dużym rejestrze pakietów. W pierwszej fali dotknięto ponad sto pakietów.