Paige Thompson

Thompsonは2015〜2016年にAWSで働いていた。2019年3月、Capital Oneのサーバーの前段にある設定ミスのWAFを見つけ、自分の代わりにリクエストを送らせた。教科書どおりのSSRFである。リクエストはEC2のインスタンスメタデータサービスに届き、権限が過大なIAMロールの一時認証情報を快く渡した。被害は米国とカナダの約1億600万人の顧客に及んだ。

彼女はGitHubやチャットで自慢し、部外者が銀行に通報して、2019年7月に逮捕された。2022年に電信詐欺と不正アクセスで有罪となり、服役済み期間と保護観察の刑を受けた。Capital Oneには8000万ドルの制裁金が課され、その秋にAWSはIMDSv2を出した。単純に転送されたGETでは取得できないセッショントークンを必須としている。