Paige Thompson

Thompson hade arbetat på AWS 2015–2016. I mars 2019 hittade hon en felkonfigurerad WAF framför Capital Ones servrar och fick den att göra anrop åt sig, en klassisk SSRF. Anropet gick till EC2-instansens metadatatjänst, som villigt lämnade ut tillfälliga nycklar för en IAM-roll med alldeles för breda rättigheter. Resultatet var uppgifter om runt 106 miljoner kunder i USA och Kanada.

Hon skröt om fyndet på GitHub och i chattkanaler, en utomstående tipsade banken och hon greps i juli 2019. 2022 dömdes hon för bedrägeri och dataintrång till redan avtjänad tid och skyddstillsyn. Capital One fick 80 miljoner dollar i böter, och AWS lanserade samma höst IMDSv2, där metadatatjänsten kräver en sessionstoken som en enkel vidarebefordrad GET inte kan få.