La primera colisión pública, SHAttered (Stevens y sus colegas del CWI y de Google, febrero de 2017), produjo dos archivos PDF distintos con el mismo resumen SHA-1. En 2020, «SHA-1 is a Shambles», de Leurent y Peyrin, hizo prácticas las colisiones de prefijo elegido, con un coste de decenas de miles de dólares en tiempo de GPU, y permitió falsificar certificaciones de claves PGP. La resistencia a preimágenes no está rota.
Estado: el NIST prohibió SHA-1 para generar firmas digitales en 2013 y anunció en diciembre de 2022 que lo retirará para aplicar protección en todos los usos a más tardar el 31 de diciembre de 2030. El RFC 9155 declara obsoletas las firmas MD5 y SHA-1 en TLS 1.2; los navegadores dejaron de confiar en los certificados SHA-1 en 2017; OpenSSH 8.8 desactivó por defecto el algoritmo de firma SHA-1 ssh-rsa.
Dónde sobrevive: en los ID de objetos de Git (con una implementación que detecta colisiones; ya existen repositorios SHA-256), las huellas digitales de OpenPGP v4, HMAC-SHA1 (no le afectan las colisiones y aún se usa en TOTP y en algunos protocolos antiguos) y los certificados heredados. Considéralo aceptable solo donde ningún atacante pueda influir en los datos de los que se calcula el hash.