在 2016 年 11 月 25 日晚至 26 日全天，旧金山的城市轨道公交（Municipal Rail，j2直播，俗称 “Muni”）突然向市民敞开了免费的大门，购票机器上显示着“暂停服务”，并标贴着“免费乘车”的便条。由于时间正撞上感恩节后，市民还以为是政府给大家送过节礼呢，直到看到车站里所有的电脑屏幕上都写着“你被黑了。所有信息已加密。联系我们解密（[email protected]）。”

　　（图片来自 ）

　　这名/这群自称为 Andy Saolis 的黑客首先是和 SFMTA 负责人联系，索取 100 比特币（约为 73000 美元）作为解密交换条件。而 SFMTA 的发言人则表示：“我们重来都没考虑过要支付赎金”。

　　虽然在早期有外媒报道，本次黑客入侵影响了 SFMTA 里 1/4（2112 台／8656 台 ）的电脑，并造成售票机无法正常工作，因而逼得SFMTA 选择将入站闸门保持常开，所有市民都可以免费入站坐车。所幸在于，黑客入侵并没有影响到火车、巴士和有轨电车。

　　（图片来自 Krebs on Security）

　　但 SFMTA 在 11 月 28 日正式发出声明解释，本次黑客入侵主要是入侵了办公室里的电脑以及他们的电子邮件。并声明：

　　SFMTA 的网络并没有被入侵，黑客也没有穿破我们的防火墙。Muni 的操作和安全都没有收到影响。我们的购票系统也没有受到入侵。并且，虽很多媒体都有报道——但我们的数据并没有受到入侵。

　　机构解释道，暂停售票机和打开地铁闸门都是一种应急机制，为的是尽可能减少事件对市民的影响。并说明，收到影响的电脑约为 900 台，也没有报道所称 2000 多台那么夸张。

　　并且，由于 SFMTA 的技术团队可以通过还原备份的方式对受影响电脑进行恢复，并宣称于 11 月 28 日上午已经恢复部分电脑正常运行，并于后续两天完成所有电脑修复工作。

　　过于张扬的黑客自己也被黑了

　　SFMTA 这个版本故事可和黑客 Andy Saolis 说的可不一样。

　　据悉，黑客宣称通过这次入侵，他（们）获得了 30G 的信息，其中包括 Muni 员工资料、客户信息以及其他技术资料，而且售票系统瘫痪也是他（们）的杰作。

　　（图片来自国际在线）

　　当外媒尝试通过联系黑客留下的电子邮箱地址时，黑客欣然地表示“欢迎！”，并用不太标准的英语回复指责 SFMTA 只顾着赚钱，却不安置一些好点的电脑系统。还要给大家留下比特币钱包账号，以防有谁想给他捐钱支持他的“正义之举”。

　　非常戏剧化的是，在 11 月 29 日，和 Krebs on Security分别报道了黑客 Andy Saolis 反被另外两名匿名黑客入侵了邮箱，并发现这个勒索 SFMTA 的黑客是勒索惯犯。

　　虽然 SFMTA 坚决拒绝缴纳赎金，但从 Andy Saolis 的邮件内容判断，有不少公司是选择了就范。根据反向入侵的黑客保守统计，Andy Saolis 自今年八月以来，大概成功通过勒索收入了价值 140000 美元的比特币。

　　（图片来自 Tech News Central）

　　邮件显示，11 月 20 日，黑客成功通过勒索一家基于美国的生产公司获得了 63 比特币（约为 45000 美元）。

　　同时，也有被勒索的公司成功和黑客讲价压价的，而且那还是一家中国公司，成功将赎金从 40 比特币（约为 17599 美元）讲价讲到 24 比特币（约为 29166 美元）交易。

　　其中也有被勒索对象，愿意多给黑客付钱以请求获取加强信息安全的建议。例如，有一位受害者就多支付了 20 比特币的赎金，换来了黑客的一条建议链接，让其在重新联网前装上 Oracle 在 2015 年发布的一个安全补丁。

　　自称 Andy Saolis 的黑客主要使用了名为 Mamba 和 HDD Cryptor 的勒索软件，Hold Security Inc 的首席信息安全官 Alex Holden 表示：