Атакуючі ввійшли через облікові дані, видані підряднику з холодильного обладнання та систем вентиляції, який мав віддалений доступ до мережі Target, і перейшли звідти до платіжних систем. Було викрадено близько 40 мільйонів записів про картки та 70 мільйонів записів про клієнтів. Вендор не мав жодної ролі в платежах і жодної причини бути поблизу них.

Один центр сертифікації тихо придбав інший і не розкрив цього, порушивши правила кореневої програми браузерів, які вимагають саме такого розкриття. Далі були сертифікати з попередніми датами та неправильна видача. Mozilla, Google та Apple кожна припинила довіру до обох, розглядаючи приховану зміну контролю як основне порушення.

Автор вилучив пакет з одинадцяти рядків із публічного реєстру після спору про назву, і протягом годин по всьому світу зламалися тисячі збірок. Ніщо не було скомпрометоване, і ніхто нікого не атакував. Це встановило, що компонент, якого ніхто не обирав свідомо, все одно може зупинити дуже багато роботи.

Канал оновлення українського продукту для податкового обліку використали, щоб розповсюдити руйнівне шкідливе програмне забезпечення в кожну організацію, яка ним користувалася, і воно поширилося звідти через сполучені мережі. Merck і Maersk були серед компаній, чия діяльність зупинилася на тижні. Страхова вимога Merck щодо цих збитків склала приблизно 1,4 мільярда доларів, і на її вирішення пішли роки судових спорів.

Збірку широко використовуваної утиліти з бекдором підписали власним сертифікатом вендора й розповсюдили через власну інфраструктуру завантаження вендора. Її встановили близько 2,27 мільйона користувачів, перш ніж компрометацію виявили. Вендора придбали незадовго до цього, але докази вказують на вторгнення в середовище збірки, а не на цю операцію.

Скрипт чатбота, наданий сторонньою компанією, працював на платіжних сторінках. Скомпрометовано було інфраструктуру постачальника, а не рітейлера, і це торкнулося до дев’яти мільйонів клієнтів. Регулятор оштрафував рітейлера, який оспорював відповідальність за скрипт, якого він не писав.

До коду, який авіакомпанія розміщувала сама, додали двадцять два рядки скрипту, і за три тижні було викрадено платіжні дані приблизно 429 000 людей. Це була компрометація власного коду тими самими прийомами, а не провал стороннього постачальника, і ці два часто й неправильно об’єднують. Регулятор оштрафував авіакомпанію на 20 мільйонів фунтів.

До супровідника, який відійшов від пакета, що завантажували мільйони разів на тиждень, звернувся незнайомець із пропозицією допомогти, і той надав йому права на публікацію. Через два місяці залежність, додана новим супровідником, несла корисне навантаження, спрямоване на конкретний гаманець криптовалюти. Через три місяці після того це виявив розробник, який читав код.

Розширення для браузера з приблизно двома мільйонами користувачів придбала аналітична компанія 2017 року. Через вісімнадцять місяців дослідник задокументував, що воно надсилало повну історію перегляду кожного, хто його встановив, новому власнику. І Chrome, і Firefox вилучили його протягом кількох днів після цього повідомлення.

Розробник двох розширень для блокування реклами продав їх у жовтні 2020 року й публічно про це тоді сказав. Приблизно за два тижні нові власники випустили оновлення, яке збирало дані користувачів, і розширення вилучили. Там, де інтервал Polyfill.io був чотири місяці, а інтервал xz-utils двадцять вісім, цей був два тижні.

Утиліта оновлення вендора, правильно підписана й подана з власних серверів вендора, доставила бекдор на велику кількість машин. Дослідники з’ясували, що корисне навантаження звіряло кожну машину зі вбудованим у код списком кількох сотень мережевих адрес і на всіх інших не робило нічого. Масове розповсюдження було способом доставки для дуже невеликої кількості намічених цілей.

Атакуючі дісталися конвеєра збірки продукту для керування мережами і вставили код у підписаний випуск. Вважають, що уражену версію встановили менше ніж 18 000 клієнтів, а далі переслідували значно меншу кількість. Це виявила фірма з безпеки, яка розслідувала вторгнення у власні системи, а не будь-який клієнт.

Розширення для браузера з понад двома мільйонами встановлень розробник продав покупцеві, особу якого не розкрили. Функціональність не змінилася, і жодне оновлення не виглядало незвично. Зловмисна поведінка з’явилася через п’ять місяців, а розширення вилучили й дистанційно вимкнули на машинах користувачів у лютому наступного року.

Програму-вимагач протягнули через платформу віддаленого керування, яку керовані постачальники послуг використовують, щоб адмініструвати системи своїх клієнтів. Це торкнулося приблизно до 1 500 підприємств далі по ланцюгу, більшість із яких ніколи не чула про цю платформу. Вони підпали під ризик через інструменти свого провайдера, а не через щось, що запускали самі.

Дефект у бібліотеці журналювання для Java, присутній у величезній кількості застосунків, став тривіально експлуатовним, і організації тижнями намагалися встановити, де ця бібліотека взагалі є. Більшість не могла відповісти на це запитання швидко. Той поспіх стосувався не так дефекту, як відсутності будь-якої інвентаризації, з якою його можна було б звірити.

Працівник встановив троянізовану копію непов’язаного торгового програмного забезпечення на особистій машині. Атакуючі використали отримані там облікові дані, щоб дістатися власного середовища збірки компанії й троянізувати її настільний застосунок, який мав понад 600 000 клієнтських організацій. Це найясніший задокументований випадок, коли одну компрометацію ланцюга постачання використали, щоб підготувати іншу.

Дефект у продукті для керованої передачі файлів використали, щоб витягти дані з організацій, які ним користувалися, і з багатьох інших, чиї дані ці організації тримали. Трекери зафіксували значно понад 2 000 уражених організацій і десятки мільйонів осіб. Велика частка цих осіб не мала жодних відносин ані з цим програмним забезпеченням, ані з компаніями, які ним керували.

Особа зробила свій перший звичайний внесок до основної бібліотеки стиснення в жовтні 2021 року, отримала більшу роль у середині 2022 року після тривалої кампанії начебто непов’язаних голосів, які тиснули на єдиного супровідника прийняти допомогу, і вставила бекдор у скрипти збірки в лютому 2024 року. Минуло двадцять вісім місяців без жодного шахрайського кроку, який можна було б виявити, бо кожен крок був справжнім до останнього. Це виявили випадково, коли інженер досліджував непов’язану проблему з продуктивністю, і воно дійшло до тестових і плинних дистрибутивів, а не до стабільних випусків.

Домен і репозиторій широко використовуваного сервісу скриптів продали в лютому 2024 року компанії, зареєстрованій у Китаї, і розробники порушили питання про цю зміну в публічному зверненні в репозиторії того самого місяця. Зловмисні перенаправлення незалежно задокументували в кінці червня, і вони торкнулися понад 100 000 сайтів. Набувача Міністерство фінансів Сполучених Штатів внесло до санкційного списку в травні 2025 року через непов’язану шахрайську операцію.

Дефектне оновлення контенту для агента безпеки призвело до того, що приблизно 8,5 мільйона машин під Windows не змогли завантажитися, за даними Microsoft. Ніщо не було скомпрометоване, і ніхто нічого не атакував. Авіакомпанії, лікарні та банки припинили працювати, бо всі вони залежали від того самого компонента, і саме так виглядає концентрація, коли вона відмовляє випадково.

Викрадений токен доступу використали, щоб перезаписати теги версій широко використовуваної дії для безперервної інтеграції так, що вони вказували на код, який виводив секрети збірки в публічно читані журнали. На цю дію посилалися приблизно 23 000 репозиторіїв. Токен отримали кількома місяцями раніше через непов’язаний проєкт.

Викрадені облікові дані для публікації використали, щоб додати код до випусків пакетів, який потім збирав облікові дані з машин, що їх встановлювали, і використовував їх, щоб публікувати нові уражені випуски. Це перший задокументований випадок компрометації, яка сама себе поширює, у великому реєстрі пакетів. У першій хвилі було уражено понад сотню пакетів.