Capital One确认了一项“数据安全事件”，该事件影响了美国和加拿大的1亿多客户 - 虽然亚马逊网络服务(AWS)已被确定为数据被盗的容器，但客户和供应商均未出现要责怪。

Paige A. Thompson，也被称为“飘忽不定”，于周一被捕，并在西雅图出庭受到电脑欺诈和滥用指控。根据刑事投诉文件(pdf)，“防火墙错误配置”确保了Capital One云服务器的漏洞。

7月17日，一位不知名的人通过电子邮件向Capital One发送了一份负责任的披露地址，并将其指向泄露数据的GitHub账户。“Capital One确定[文件]包含特定服务器的IP地址，”该文件指出。“防火墙配置错误允许命令到达并由该服务器执行，这使命令能够访问Cloud Computing公司Capital One存储空间中的文件夹或数据桶。”

后来证实，这家云计算公司是亚马逊。最初的电子邮件，以及据称来自Thompson的Slack消息，提到了S3，AWS的主要存储产品。亚马逊向Bloomberg证实了这一点，并补充说，这些数据“并未通过AWS系统中的漏洞或漏洞进行访问”。AWS还确认Thompson之前曾是该公司的员工，最后一次在2016年在那里工作。

Capital One是着名的AWS客户; 该公司在2016年选择亚马逊作为其“主要的云基础设施提供商”，并将此消息与AWS're：Invent客户聚会一起宣布。这家金融服务提供商当时表示，它倡导的是云计算第一思想，计划在未来五年内将其大部分核心业务和客户应用程序迁移到AWS。

从Capital One的角度来看，该公司称赞其云优先系统能够以最快的速度修复事故。Capital One 在其新闻材料中对这一主题进行了具体的问答，并写道：“这种类型的漏洞并非针对云。所涉及的基础架构元素对于云和本地数据中心环境都是通用的。

“我们能够通过我们的云运营模式实现诊断和修复此漏洞并确定其影响的速度。”

Capital One指出，没有信用卡帐号或登录凭证被泄露，以及不到1%的社会安全号码。新闻材料奇怪地指出，“没有银行帐号或社会安全号码受到损害，除了...大约140,000个社交安全号码的......信用卡客户。”

SecurityScorecard的首席研究官亚历克斯·海德(Alex Heid)将该公司的回应描述为“值得称道的”，特别是在其披露和漏洞狩猎实践方面，但他补充说。“从处理大量数据的任何业务的角度来看，在云计算环境中使用第三方托管服务是现代时代不可避免的现实，”Heid说。“网络的攻击范围超出了组织本身，并且经常与第三方供应商的集合交织在一起。

“除了对所有外部资产使用连续监控服务是理解范围的重要部分之外，实施错误赏金报告程序将大大有助于确保对资产的”额外设置“值。”