Die US-Regierung bietet eine Belohnung von bis zu 10 Millionen Dollar für Informationen, die dabei helfen könnten, Zhang Yu zu finden, einen chinesischen Staatsbürger, der beschuldigt wird, an einer großen Cyberspionagekampagne teilgenommen zu haben, die Tausende amerikanischer Organisationen kompromittiert hat.
Zhang wird im Zusammenhang mit der HAFNIUM-Hacking-Operation gesucht, die 2021 Sicherheitslücken in Microsoft Exchange E-Mail-Servern ausnutzte. Die Angriffe ermöglichten es Hackern, unbefugten Zugang zu Unternehmens- und Regierungsnetzwerken zu erhalten, wodurch sensible E-Mails und andere vertrauliche Informationen möglicherweise offengelegt wurden.
Laut US-Staatsanwälten arbeitete Zhang als Direktor bei Shanghai Firetech Information Science and Technology, einem Unternehmen, das angeblich an Cyberoperationen für Chinas Geheimdienste beteiligt ist. Ermittler werfen ihm vor, Hacking-Aktivitäten koordiniert und andere an der Operation beteiligte Mitarbeiter zu überwachen.
Die Vorwürfe gehen über die Microsoft-Exchange-Anschläge hinaus. Staatsanwälte sagen, Zhang und sein mutmaßlicher Komplize Xu Zewei hätten auch amerikanische Universitäten und Forscher ins Visier genommen, die 2020 an COVID-19-Impfstoffen, Behandlungen und Tests arbeiteten.
Die beiden Männer wurden in einer neunpunktigen Bundesanklageschrift genannt, die im November 2023 erlassen und im Juli 2025 öffentlich gemacht wurde. Zu ihren mutmaßlichen Opfern gehörten Universitäten in Texas und eine internationale Anwaltskanzlei mit Büro in Washington, DC.
Xu wurde im Juli 2025 in Italien festgenommen und im April 2026 in die Vereinigten Staaten ausgeliefert. Zhang ist jedoch weiterhin auf freiem Fuß, was die amerikanischen Behörden dazu veranlasst, weiterhin nach Informationen über seinen Aufenthaltsort zu suchen.
Die HAFNIUM-Kampagne wurde im März 2021 weithin bekannt, als Microsoft mehrere zuvor unbekannte Schwachstellen in Exchange Server offenlegte. Angreifer nutzten diese Schwachstellen aus, um auf verwundbare E-Mail-Systeme zuzugreifen, und andere Hackergruppen begannen daraufhin, dieselben Sicherheitslücken zu nutzen.
US-Behörden berichten, dass die umfassendere Kampagne mehr als 12.700 amerikanische Organisationen kompromittiert hat. Microsoft führte die ursprüngliche Aktivität einer in China ansässigen, staatlich geförderten Hackergruppe zu, während US-Beamte die Operation später mit dem chinesischen Ministerium für Staatssicherheit in Verbindung brachten.
Die Belohnung wird über das Rewards for Justice-Programm des Außenministeriums angeboten, das finanzielle Anreize für Informationen über Personen bietet, die in Bedrohungen der nationalen Sicherheit verwickelt sind.