Os atacantes entraram com credenciais emitidas a um prestador de refrigeração e climatização que tinha acesso remoto à rede da Target, e de lá chegaram aos sistemas de pagamento. Cerca de 40 milhões de registros de cartões e 70 milhões de registros de clientes foram levados. O fornecedor não tinha papel algum nos pagamentos e nenhuma razão para estar perto deles.

Uma autoridade certificadora adquiriu discretamente outra e não divulgou, em violação das regras dos programas raiz dos navegadores, que exigem exatamente essa divulgação. Seguiram-se certificados retroativos e emissões indevidas. Mozilla, Google e Apple retiraram a confiança das duas, e trataram a mudança de controle ocultada como a falta principal.

Um autor retirou do registro público um pacote de onze linhas após uma disputa de nome, e milhares de compilações quebraram no mundo inteiro em questão de horas. Nada foi comprometido e ninguém foi atacado. Ficou estabelecido que um componente que ninguém havia escolhido deliberadamente podia, ainda assim, parar uma enorme quantidade de trabalho.

O canal de atualização de um programa ucraniano de contabilidade fiscal foi usado para distribuir malware destrutivo a todas as organizações que o executavam, e de lá se espalhou pelas redes conectadas. Merck e Maersk estiveram entre as empresas cujas operações ficaram paradas por semanas. O pedido de indenização da Merck ao seguro pela perda chegou a cerca de 1,4 bilhão de dólares e levou anos de litígio para ser resolvido.

Uma compilação com backdoor de um utilitário de uso amplo foi assinada com o próprio certificado do fabricante e distribuída pela sua própria infraestrutura de download. Cerca de 2,27 milhões de usuários a instalaram antes de o comprometimento ser descoberto. O fabricante havia sido adquirido pouco antes, mas as evidências apontam para uma intrusão no ambiente de compilação e não para a transação.

Um script de chatbot fornecido por um terceiro estava sendo executado em páginas de pagamento. O que foi comprometido foi a infraestrutura do fornecedor, não a do varejista, e até nove milhões de clientes foram afetados. O regulador multou o varejista, que contestou a responsabilidade por um script que não havia escrito.

Vinte e duas linhas de script foram acrescentadas a código hospedado pela própria companhia, e os dados de pagamento de cerca de 429.000 pessoas foram levados ao longo de três semanas. Foi um comprometimento de primeira parte com as mesmas técnicas, e não uma falha de fornecedor externo, e os dois são agrupados com frequência e de forma equivocada. O regulador multou a companhia em 20 milhões de libras.

Um mantenedor que havia se afastado de um pacote baixado milhões de vezes por semana foi abordado por um desconhecido oferecendo ajuda, e concedeu direitos de publicação. Dois meses depois, uma dependência acrescentada pelo novo mantenedor trazia uma carga dirigida a uma carteira de criptomoedas específica. Foi descoberta três meses depois disso, por um desenvolvedor que leu o código.

Uma extensão de navegador com cerca de dois milhões de usuários foi adquirida por uma empresa de analytics em 2017. Dezoito meses depois, um pesquisador documentou que ela enviava o histórico completo de navegação de todos que a tinham instalado ao novo proprietário. Chrome e Firefox a retiraram poucos dias depois do relatório.

O desenvolvedor de duas extensões de bloqueio de anúncios as vendeu em outubro de 2020 e disse isso publicamente na época. Em cerca de duas semanas, os novos proprietários já haviam publicado uma atualização que coletava dados de usuários, e as extensões foram retiradas. Onde o intervalo do Polyfill.io foi de quatro meses e o do xz-utils de vinte e oito, este foi de quinze dias.

Um utilitário de atualização do fabricante, corretamente assinado e servido dos seus próprios servidores, entregou um backdoor a um grande número de máquinas. Os pesquisadores constataram que a carga verificava cada máquina contra uma lista fixa de várias centenas de endereços de rede e não fazia nada em nenhuma das demais. A distribuição em massa foi o meio de entrega para um número muito pequeno de alvos pretendidos.

Os atacantes alcançaram a cadeia de compilação de um produto de gestão de redes e inseriram código em uma versão assinada. Acredita-se que menos de 18.000 clientes instalaram a versão afetada, e um número muito menor foi perseguido depois. A descoberta veio de uma empresa de segurança que investigava uma intrusão nos seus próprios sistemas, e não de um cliente.

Uma extensão de navegador com mais de dois milhões de instalações foi vendida pelo seu desenvolvedor a um comprador cuja identidade não foi revelada. A funcionalidade não mudou e nenhuma atualização pareceu incomum. O comportamento malicioso apareceu cinco meses depois, e a extensão foi retirada e desativada remotamente nas máquinas dos usuários no fevereiro seguinte.

Ransomware foi distribuído pela plataforma de gestão remota que os prestadores de serviços gerenciados usam para administrar os seus clientes. Até cerca de 1.500 negócios abaixo na cadeia foram afetados, e a maioria deles nunca havia ouvido falar da plataforma. Ficaram expostos pelas ferramentas do seu prestador, e não por algo que eles mesmos executassem.

Uma falha em uma biblioteca de log em Java presente em um número enorme de aplicações tornou-se trivialmente explorável, e as organizações passaram semanas tentando estabelecer onde a biblioteca sequer estava. A maioria não conseguiu responder rápido à pergunta. A correria foi menos pela falha do que pela ausência de qualquer inventário contra o qual verificá-la.

Um funcionário instalou em uma máquina pessoal uma cópia com trojan de um software de negociação sem relação com a empresa. Os atacantes usaram as credenciais obtidas ali para alcançar o ambiente de compilação da própria empresa e inserir um trojan na sua aplicação de desktop, que tinha mais de 600.000 organizações clientes. É o caso documentado mais claro de um comprometimento de cadeia de suprimentos usado para preparar outro.

Uma falha em um produto de transferência gerenciada de arquivos foi usada para extrair dados das organizações que o executavam e das muito mais numerosas cujos dados essas organizações guardavam. Os levantamentos registraram bem mais de 2.000 organizações afetadas e dezenas de milhões de pessoas. Uma grande parcela dessas pessoas não tinha relação alguma com o software nem com as empresas que o operavam.

Uma identidade fez a sua primeira contribuição comum a uma biblioteca de compressão essencial em outubro de 2021, recebeu um papel maior em meados de 2022 após uma campanha sustentada de vozes aparentemente sem relação pressionando o único mantenedor a aceitar ajuda, e inseriu um backdoor nos scripts de compilação em fevereiro de 2024. Passaram-se vinte e oito meses sem nenhuma etapa fraudulenta a detectar, porque cada etapa foi autêntica até a última. A descoberta foi acidental, por um engenheiro que investigava um problema de desempenho sem relação, e havia alcançado distribuições de teste e de atualização contínua, não versões estáveis.

Um serviço de scripts de uso amplo teve o seu domínio e o seu repositório vendidos em fevereiro de 2024 a uma empresa registrada na China, e os desenvolvedores levantaram a mudança em uma issue de repositório público no mesmo mês. No fim de junho foram documentados de forma independente redirecionamentos maliciosos que afetavam mais de 100.000 sites. O adquirente foi sancionado pelo Tesouro dos Estados Unidos em maio de 2025 por uma operação de fraude sem relação com este caso.

Uma atualização de conteúdo defeituosa de um agente de segurança fez com que cerca de 8,5 milhões de máquinas Windows não iniciassem, segundo a Microsoft. Nada foi comprometido e ninguém atacou nada. Companhias aéreas, hospitais e bancos pararam de funcionar porque todos dependiam do mesmo componente, e é assim que a concentração se parece quando falha por acidente.

Um token de acesso roubado foi usado para reescrever as marcas de versão de uma ação de integração contínua de uso amplo, de modo que apontassem para código que imprimia os segredos de compilação em logs de leitura pública. Cerca de 23.000 repositórios referenciavam essa ação. O token havia sido obtido alguns meses antes por meio de um projeto sem relação.

Credenciais de publicação roubadas foram usadas para acrescentar código a versões de pacotes que depois colhiam credenciais das máquinas que as instalavam, e as usavam para publicar novas versões afetadas. É o primeiro caso documentado de um comprometimento autopropagável em um registro de pacotes importante. Mais de cem pacotes foram afetados na primeira onda.