Kẻ tấn công cài mã độc vào quy trình build của SolarWinds, khiến các bản cập nhật Orion từ tháng 3 đến tháng 6/2020 mang theo cửa hậu; khoảng 18.000 khách hàng tải về. Vụ việc chỉ lộ ra khi FireEye điều tra vụ xâm nhập chính mình. Phân tích dưới góc nhìn rủi ro: tài sản nào cần được bảo vệ như "sản phẩm", và vì sao rủi ro phần mềm bên thứ ba phải nằm trong sổ đăng ký rủi ro của người mua lẫn người bán.
Cuối năm 2013, tin tặc đánh cắp thông tin khoảng 40 triệu tài khoản thẻ và dữ liệu cá nhân của tới 70 triệu khách hàng Target. Báo cáo của Uỷ ban Thương mại Thượng viện Mỹ cho thấy điểm vào là tài khoản của một nhà thầu điều hoà, mạng không được phân tách và các cảnh báo không được hành động. Phân tích dưới góc nhìn rủi ro: nhận diện, đánh giá và ứng phó rủi ro từ bên thứ ba.
Lỗ hổng CVE-2021-44228 trong thư viện ghi nhật ký Log4j có điểm CVSS 10, tồn tại từ năm 2013 và ảnh hưởng 93% môi trường đám mây doanh nghiệp theo khảo sát của Wiz và EY. Hội đồng Rà soát An toàn Mạng Mỹ gọi đây là lỗ hổng "đặc hữu". Bài học rủi ro: không có bản kê thành phần phần mềm thì không thể ứng phó nhanh, và phụ thuộc nguồn mở cần được quản lý như phụ thuộc nhà cung cấp.
Bốn phút sau khi cất cánh từ Singapore, động cơ Rolls-Royce Trent 900 của chiếc A380 chở 469 người nổ tung, phá hỏng hàng loạt hệ thống. Tổ bay năm phi công xử lý suốt gần một giờ và hạ cánh an toàn. Điều tra chỉ ra một ống dầu sản xuất sai, và các sai lệch tương tự từng được phát hiện nhưng được đánh giá là không ảnh hưởng khách hàng. Bài học về đánh giá rủi ro của sai lệch và năng lực ứng phó.
Tháng 3/2021, đám cháy phá huỷ hoàn toàn trung tâm dữ liệu SBG2 của OVHcloud ở Strasbourg, làm ngừng nhiều dịch vụ; dữ liệu và bản sao lưu đặt trong SBG2 bị mất. OVH ước tính thiệt hại khoảng 105 triệu euro, và năm 2023 bị tuyên phải bồi thường cho hai khách hàng. Phân tích: trách nhiệm chia sẻ giữa nhà cung cấp và khách hàng, và vì sao "có sao lưu" chưa phải là "có khôi phục thảm hoạ".
Ngày 15/10/2022, đám cháy ở phòng pin của trung tâm dữ liệu SK C&C tại Pangyo (Hàn Quốc) làm các dịch vụ của Kakao gián đoạn 127 giờ 30 phút. Kết luận điều tra chính phủ: pin không được tách khỏi hệ thống nguồn dự phòng, hệ thống chữa cháy không phù hợp, và hệ thống dự phòng của Kakao không thể kích hoạt kịp vì cơ chế cấp quyền vẫn nằm ở trung tâm bị cháy. Bài học về khôi phục thảm hoạ và điểm lỗi đơn.
Một lỗi cạnh tranh tiềm ẩn trong hệ thống quản lý DNS của DynamoDB đã xoá toàn bộ địa chỉ của điểm cuối dịch vụ tại vùng US-EAST-1, kéo theo EC2, bộ cân bằng tải NLB và nhiều dịch vụ khác; sự cố kéo dài khoảng 14,5 giờ. Bài học cho PM: phụ thuộc dây chuyền, quyết định "một vùng hay nhiều vùng", và cách đọc bài hậu kiểm của nhà cung cấp để cập nhật sổ rủi ro của mình.
Ngày 31/01/2017, một kỹ sư GitLab xoá nhầm thư mục dữ liệu của cơ sở dữ liệu chính. Khi cần khôi phục, nhóm phát hiện gần như mọi cơ chế sao lưu đều hỏng hoặc chưa từng được thử. Phân tích sự cố dưới góc nhìn quản lý rủi ro: rủi ro "đã có biện pháp" nhưng chưa bao giờ được kiểm chứng hiệu lực.
Tháng 7/2019, kẻ tấn công truy cập dữ liệu hàng chục triệu khách hàng Capital One lưu trên AWS. Tháng 8/2020, cơ quan quản lý ngân hàng Mỹ (OCC) phạt 80 triệu USD, nêu rõ ngân hàng không thiết lập quy trình đánh giá rủi ro hiệu quả trước khi chuyển hoạt động CNTT trọng yếu lên đám mây, kiểm toán nội bộ bỏ sót nhiều điểm yếu và hội đồng quản trị chưa chủ động. Bài học về rủi ro chương trình chuyển đổi đám mây và vai trò của ba tuyến phòng thủ.
Ngày 23/3/2016 Microsoft ra mắt Tay, chatbot dành cho giới trẻ Mỹ trên Twitter. Chỉ trong vòng 16 giờ tài khoản bị tạm dừng sau khi một nhóm người dùng khai thác lỗ hổng khiến bot đăng nội dung xúc phạm; Microsoft xin lỗi và nhận trách nhiệm. Bài học rủi ro về hệ thống AI/ML: mô hình học trực tiếp từ dữ liệu công khai, kiểm thử thiếu kịch bản đối kháng và thiếu công tắc dừng.
Từ tháng 6 đến ngày 5/9/2018, kẻ tấn công xâm nhập mạng BA và cài 22 dòng JavaScript vào trang thanh toán để đánh cắp dữ liệu thẻ; Cơ quan ICO (Anh) xác định dữ liệu của khoảng 429.612 người có thể bị truy cập. BA báo ICO sau một ngày và bị phạt 20 triệu bảng (từ mức đề xuất 183,39 triệu) vào tháng 10/2020. Bài học: rủi ro quyền riêng tư, kiểm soát truy cập của bên thứ ba và thiết lập dự án tuân thủ GDPR.
Hợp đồng giá cố định 5,522 tỷ bảng cho 589 xe Ajax được ký năm 2014, nhưng đến cuối 2021 Lục quân Anh mới nhận 26 xe, mốc năng lực ban đầu trễ hơn bốn năm. Theo NAO, cảnh báo về tiếng ồn, độ rung và chấn thương của tổ lái đi chậm qua nhiều tầng báo cáo. Phân tích dưới góc nhìn quản lý rủi ro: ngưỡng leo thang, chủ sở hữu rủi ro và ảo tưởng “rủi ro đã chuyển cho nhà thầu”.
Zillow mở rộng mua nhà bằng thuật toán, rồi tháng 11/2021 quyết định đóng Zillow Offers: ghi giảm giá trị tồn kho khoảng 304 triệu USD trong quý 3, dự kiến thêm 240–265 triệu USD lỗ ở quý 4 và cắt khoảng 25% nhân sự. CEO nói mức bất định khi dự báo giá nhà vượt xa dự tính. Bài học về rủi ro triển khai mô hình học máy ra quyết định tự động ở quy mô lớn: kiểm chứng ngoài mẫu, ngưỡng dừng và giới hạn mức phơi nhiễm.
Ngày 19/07/2024, một bản cập nhật nội dung của CrowdStrike Falcon khiến khoảng 8,5 triệu máy Windows gặp lỗi màn hình xanh. Bản cập nhật được phát hành tới toàn bộ khách hàng cùng lúc. Phân tích rủi ro thứ cấp của biện pháp bảo mật, rủi ro tập trung và cách thiết kế triển khai theo giai đoạn có ngưỡng dừng.
Anh đã đóng xong hai tàu sân bay lớp Queen Elizabeth và nhận những chiếc F-35B đầu tiên, nhưng hệ thống radar cảnh báo sớm Crowsnest — lớp bảo vệ quan trọng của cụm tàu sân bay — trễ 18 tháng. NAO (2020) chỉ ra cả MoD lẫn nhà thầu chính đều không biết nhà thầu phụ chậm tiến độ cho tới khi quá muộn. Phân tích rủi ro chuỗi cung ứng và rủi ro của các năng lực đi kèm.