當地時間週一晚上，Capital One及其客戶得到了一些非常糟糕的訊息。該公司遭遇大規模資料洩露事件，大約1億美國和加拿大使用者的社會安全號碼和帳戶詳細資訊遭洩露。紐約州司法部長已經宣佈對Capital One的洩露事件展開調查，但更廣泛的故事是熟悉的：一家大公司讓許多敏感資料丟失，客戶承擔了大部分風險。

然而隨著對該事件的調查越深入，外媒發現的疑點就越多。被指控的駭客Paige Thompson（又稱“Erratic”），在資料洩露事件公開的同時被抓獲並被起訴，她似乎對覆蓋她的蹤跡並感興趣。人們並不確切知道她在獲得資料後對資料做了什麼，但她不符合大多數詐騙者的情況，他們傾向於儘快在暗網等出售這樣的資訊。與此同時，最初的漏洞似乎更多的是伺服器錯誤配置，而不是完全是漏洞引起，導致一些人懷疑Thompson是否可能是一個善意的研究人員。

最大的異常是如何首先發現漏洞。根據聯邦投訴，攻擊分別於2019年3月和4月分階段進行。但是，Capital One在7月17日才知道這個問題，當時有人向該公司透露他們的私人資料已上傳到公共GitHub頁面。從那裡開始，研究人員可以直接發現它的頁面以及資料是如何被獲取的。

通常情況下，資料僅在透過多箇中介後才被發現，並且很難確切地確定資料的確切時間和方式。例如，調查人員需要花費數年時間才能找到參與Target資料洩露事件的所有人。起訴揭示了一種完全不同的組織形式：一方製造軟體，另一方使用它來收集信用卡資料，然後將其賣給另一個使用它進行欺詐的團體。起訴所有這些人意味著以拉脫維亞和東歐為中心的大規模國際努力。相比之下，Thompson在最初提示後不到一個月就被拘留了。

人們不知道為什麼Thompson決定在公共GitHub頁面上釋出資料。她在Twitter上公開描述了她的技術，並且似乎並不羞於分享資訊。其餘部分資訊則來自Thompson維護的Slack房間，Thompson圍繞這個漏洞的談話非常隨意。

“我想把它從我的伺服器上刪除，這就是為什麼我要歸檔所有這些，”Thompson寫道。“這都是加密的。不過，我只是不想要它。“涉及攻擊的技術細節使其更加複雜。Thompson所做的只是可能的，因為Capital One錯誤配置了其亞馬遜伺服器。Thompson早些時候曾在亞馬遜工作過，所以她被一些人描述為“內部威脅”。但是發現這種錯誤配置對於安全研究人員來說是一種常見的消遣方式。這些錯誤配置是如此常見且如此容易修復，以至於它們通常甚至不被視為洩露。

外媒認為從外部很難區分安全研究與犯罪產業之間的區別。人們也並不不知道為什麼她獲取這些資料，或者為什麼她堅持幾個月而沒有向Capital One報告這個問題。人們也不知道她是否試圖以某種方式報告，或者她是否試圖以尚未曝光的方式從資料中獲利。