Angriparna kom in med inloggningsuppgifter som utfärdats till en entreprenör inom kyla och ventilation som hade fjärråtkomst till Targets nätverk, och förflyttade sig därifrån till betalsystemen. Omkring 40 miljoner kortposter och 70 miljoner kundposter togs. Leverantören hade ingen roll i betalningar och ingen anledning att befinna sig nära dem.

En certifikatutfärdare köpte tyst upp en annan och redovisade det inte, i strid med reglerna i webbläsarnas rotprogram som kräver just den redovisningen. Bakåtdaterade certifikat och felaktiga utfärdanden följde. Mozilla, Google och Apple drog var för sig tillbaka förtroendet för båda, och behandlade den dolda kontrollförändringen som den främsta förseelsen.

En upphovsman tog bort ett paket på elva rader från det offentliga registret efter en namntvist, och tusentals byggen havererade världen över inom timmar. Ingenting komprometterades och ingen angreps. Det fastställde att en komponent ingen medvetet hade valt ändå kunde stoppa en stor mängd arbete.

Uppdateringskanalen för en ukrainsk programvara för skatteredovisning användes för att distribuera destruktiv skadlig kod till varje organisation som körde den, och den spred sig därifrån genom anslutna nätverk. Merck och Maersk var bland de företag vars verksamhet stod stilla i veckor. Mercks försäkringskrav för förlusten uppgick till omkring 1,4 miljarder dollar och krävde år av rättsprocesser att lösa.

Ett bygge med bakdörr av ett brett använt verktygsprogram signerades med leverantörens eget certifikat och distribuerades genom leverantörens egen nedladdningsinfrastruktur. Omkring 2,27 miljoner användare installerade det innan komprometterandet upptäcktes. Leverantören hade förvärvats kort tid innan, men underlaget pekar mot ett intrång i byggmiljön snarare än mot transaktionen.

Ett chattbotskript som levererades av en tredje part kördes på betalsidor. Det var leverantörens infrastruktur som komprometterades och inte handlarens, och upp till nio miljoner kunder berördes. Tillsynsmyndigheten bötfällde handlaren, som bestred ansvaret för ett skript den inte hade skrivit.

Tjugotvå rader skript lades till kod som flygbolaget självt drev, och betalningsuppgifter för omkring 429 000 människor togs under tre veckor. Det här var ett komprometterande av egen kod med samma tekniker, inte ett haveri hos en tredjepartsleverantör, och de två buntas ofta och felaktigt samman. Tillsynsmyndigheten bötfällde flygbolaget på 20 miljoner pund.

En underhållare som hade dragit sig tillbaka från ett paket som laddades ned miljontals gånger i veckan kontaktades av en främling som erbjöd sig att hjälpa till, och gav bort publiceringsrättigheterna. Två månader senare bar ett beroende som lagts till av den nya underhållaren en nyttolast riktad mot en bestämd kryptovalutaplånbok. Det upptäcktes tre månader därefter, av en utvecklare som läste koden.

Ett webbläsartillägg med omkring två miljoner användare förvärvades av ett analysföretag 2017. Arton månader senare dokumenterade en forskare att det skickade hela webbhistoriken för alla som hade det installerat tillbaka till den nya ägaren. Både Chrome och Firefox tog bort det inom dagar efter rapporten.

Utvecklaren av två annonsblockerande tillägg sålde dem i oktober 2020 och sade det offentligt då. Inom omkring två veckor hade de nya ägarna skickat ut en uppdatering som samlade in användardata, och tilläggen drogs tillbaka. Där tidsrymden för Polyfill.io var fyra månader och för xz-utils tjugoåtta, var den här fjorton dagar.

Ett uppdateringsverktyg från tillverkaren, korrekt signerat och levererat från tillverkarens egna servrar, levererade en bakdörr till ett stort antal maskiner. Forskare fann att nyttolasten jämförde varje maskin mot en hårdkodad lista över flera hundra nätverksadresser, och gjorde ingenting på alla andra. Massdistribution var leveransmetoden för ett mycket litet antal avsedda mål.

Angripare nådde byggkedjan för en produkt för nätverksförvaltning och sköt in kod i en signerad utgåva. Färre än 18 000 kunder tros ha installerat den berörda versionen, och ett mycket mindre antal förföljdes vidare. Det upptäcktes av ett säkerhetsföretag som utredde ett intrång i sina egna system, inte av någon kund.

Ett webbläsartillägg med mer än två miljoner installationer såldes av sin utvecklare till en köpare vars identitet inte redovisades. Funktionaliteten ändrades inte, och ingen uppdatering verkade ovanlig. Illasinnat beteende dök upp fem månader senare, och tillägget togs bort och stängdes av på distans på användarnas maskiner i februari året därpå.

Utpressningsprogram sköts ut genom den plattform för fjärrförvaltning som förvaltade tjänsteleverantörer använder för att administrera sina kunder. Upp till omkring 1 500 verksamheter nedströms berördes, och de flesta av dem hade aldrig hört talas om plattformen. De exponerades genom sin leverantörs verktyg och inte genom något de körde själva.

Ett fel i ett Java-loggbibliotek som fanns i ett enormt antal applikationer blev trivialt utnyttjbart, och organisationer ägnade veckor åt att försöka fastställa var biblioteket ens fanns. De flesta kunde inte besvara frågan snabbt. Rusningen handlade inte så mycket om felet som om att det inte fanns någon inventering att kontrollera det mot.

En anställd installerade en trojaniserad kopia av orelaterad handelsprogramvara på en privat maskin. Angriparna använde inloggningsuppgifterna de fick där för att nå företagets egen byggmiljö och trojanisera dess skrivbordsapplikation, som hade över 600 000 kundorganisationer. Det är det klarast dokumenterade fallet där ett komprometterande av en leverantörskedja användes för att iscensätta ett annat.

Ett fel i en produkt för förvaltad filöverföring användes för att hämta data ur de organisationer som körde den, och ur de många fler vars data de organisationerna höll. Spårningstjänster registrerade väl över 2 000 berörda organisationer och tiotals miljoner människor. En stor andel av de människorna hade ingen relation till programvaran eller till företagen som drev den.

En identitet lämnade sitt första vanliga bidrag till ett centralt komprimeringsbibliotek i oktober 2021, fick en större roll mitt under 2022 efter en långvarig kampanj där till synes orelaterade röster pressade den ende underhållaren att ta emot hjälp, och sköt in en bakdörr i byggskripten i februari 2024. Tjugoåtta månader gick utan något bedrägligt steg att upptäcka, för varje steg var äkta ända fram till det sista. Det upptäcktes av en olyckshändelse, av en ingenjör som undersökte ett orelaterat prestandaproblem, och det hade nått test- och rullande distributioner snarare än stabila utgåvor.

En brett använd skripttjänst fick sin domän och sitt kodlager sålda i februari 2024 till ett företag registrerat i Kina, och utvecklare tog upp förändringen i ett offentligt ärende i kodlagret samma månad. Illasinnade omdirigeringar dokumenterades oberoende i slutet av juni, och berörde mer än 100 000 webbplatser. Köparen sanktionerades av det amerikanska finansdepartementet i maj 2025 för en orelaterad bedrägeriverksamhet.

En felaktig innehållsuppdatering till en säkerhetsagent fick omkring 8,5 miljoner Windows-maskiner att inte starta, enligt Microsoft. Ingenting komprometterades och ingen angrep något. Flygbolag, sjukhus och banker slutade fungera för att de alla var beroende av samma komponent, och så ser koncentration ut när den fallerar av en olyckshändelse.

En stulen åtkomsttoken användes för att skriva om versionsmärkena för en brett använd action för kontinuerlig integration, så att de pekade på kod som skrev ut bygghemligheter till loggar som var offentligt läsbara. Omkring 23 000 kodlager hänvisade till actionen. Token hade skaffats några månader tidigare genom ett orelaterat projekt.

Stulna publiceringsuppgifter användes för att lägga kod i paketutgåvor, och den koden samlade sedan in uppgifter från de maskiner som installerade dem, och använde dem för att publicera fler berörda utgåvor. Det är det första dokumenterade fallet av ett självspridande komprometterande i ett stort paketregister. Mer än hundra paket berördes i den första vågen.