Paige Thompson

Thompson havia trabalhado na AWS em 2015–2016. Em março de 2019, encontrou um WAF mal configurado diante dos servidores da Capital One e o fez enviar requisições em seu nome, um SSRF de manual. A requisição foi ao serviço de metadados da instância EC2, que entregou alegremente credenciais temporárias de um papel IAM com acesso excessivo. O butim abrangia cerca de 106 milhões de clientes nos EUA e no Canadá.

Ela se gabou no GitHub e em canais de chat, alguém de fora avisou o banco, e ela foi presa em julho de 2019. Em 2022, foi condenada por fraude eletrônica e acesso não autorizado, com pena equivalente ao tempo já cumprido mais liberdade condicional. A Capital One levou uma multa de US$ 80 milhões e, naquele outono, a AWS lançou o IMDSv2, que exige um token de sessão que um simples GET repassado não consegue obter.