Een Amerikaanse vrouw die de privégegevens van 106 miljoen klanten van de Amerikaanse bank Capital One wist te stelen is door een Amerikaanse jury schuldig bevonden. De vrouw ontwikkelde een tool voor het scannen naar verkeerd geconfigureerde Amazon Web Services-accounts. Vervolgens wist ze met de verkeerd geconfigureerde accounts data van meer dan dertig organisaties te downloaden, waaronder Capital One.

Bij Capital One ging het om namen, adresgegevens, postcodes, telefoonnummers, e-mailadressen, geboortedata en inkomen van al bestaande en potentiële klanten die een creditcard wilden aanvragen. Van mensen die al een creditcard van Capital One hadden werden ook transactiegegevens, kredietscores, kredietlimieten, betaalgeschiedenis, social security nummers en rekeningnummers gestolen. Het betrof zo'n 100 miljoen mensen in de Verenigde Staten en zo'n 6 miljoen mensen in Canada.

Het ging om één van de grootste datalekken in de geschiedenis van Amerikaanse banken. De vrouw plaatste op internet allerlei berichten waarin ze de datadiefstal benoemde. In juli 2019 waarschuwde een GitHub-gebruiker Capital One dat de bank mogelijk met een datalek te maken had gekregen. Aan de hand van de geplaatste berichten kon de FBI achterhalen dat het om de Amerikaanse vrouw ging.

Eerder stelden de Amerikaanse autoriteiten dat de vrouw scanningsoftware had gebruikt voor het vinden van verkeerd geconfigureerde firewalls, waardoor ze toegang tot de achterliggende servers kon krijgen. Daarop installeerde ze ook coinminers voor het delven van cryptovaluta. In het bericht over de veroordeling wordt nu gemeld dat het om een tool ging voor het scannen naar verkeerd geconfigureerde AWS-accounts.

De vrouw hoort op 15 september van dit jaar welke straf ze krijgt opgelegd, maar ze zou een gevangenisstraf van maximaal 25 jaar kunnen krijgen. Capital One besloot het datalek vorig jaar voor een bedrag van 190 miljoen dollar te schikken. Eerder kreeg de bank van de Amerikaanse bankentoezichthouder een boete van 80 miljoen dollar voor het datalek opgelegd. Uit onderzoek van de toezichthouder bleek dat de bank bij de migratie naar de cloudomgeving tekort was geschoten in het vaststellen en beheren van de risico's.