Пейдж Томпсон (Paige Thompson)

Томпсон работала в AWS в 2015–2016 годах. В марте 2019-го она обнаружила неправильно настроенный WAF перед серверами Capital One и заставила его выполнять запросы от своего имени — хрестоматийная SSRF. Запрос шёл к сервису метаданных экземпляра EC2, который охотно выдал временные учётные данные для роли IAM со слишком широкими правами. Добыча охватила около 106 миллионов клиентов в США и Канаде.

Она хвасталась этим на GitHub и в чатах, посторонний сообщил банку, и в июле 2019 года её арестовали. В 2022-м её признали виновной в мошенничестве с использованием электронных средств связи и несанкционированном доступе и приговорили к отбытому сроку и пробации. Capital One оштрафовали на 80 миллионов долларов, а осенью AWS выпустила IMDSv2, требующий токен сессии, который простым пересланным GET не получить.