Paige Thompson

Thompson had in 2015–2016 bij AWS gewerkt. In maart 2019 vond ze een verkeerd geconfigureerde WAF voor de servers van Capital One en wist ze die verzoeken namens haar te laten doen, een schoolvoorbeeld van SSRF. Het verzoek ging naar de metadataservice van de EC2-instantie, die gewillig tijdelijke inloggegevens afgaf voor een IAM-rol met veel te ruime rechten. De buit omvatte zo'n 106 miljoen klanten in de VS en Canada.

Ze pochte erover op GitHub en in chatkanalen, een buitenstaander waarschuwde de bank, en in juli 2019 werd ze gearresteerd. In 2022 werd ze veroordeeld voor wire fraud en onbevoegde toegang en kreeg ze de tijd die ze al had uitgezeten plus proeftijd. Capital One kreeg een boete van 80 miljoen dollar, en die herfst bracht AWS IMDSv2 uit, dat een sessietoken vereist dat een doorgestuurde simpele GET niet kan verkrijgen.