Le gouvernement américain propose une récompense allant jusqu’à 10 millions de dollars pour des informations susceptibles d’aider à localiser Zhang Yu, un ressortissant chinois accusé d’avoir participé à une importante campagne de cyberespionnage ayant compromis des milliers d’organisations américaines.
Zhang est recherché en lien avec l’opération de piratage HAFNIUM, qui a exploité des vulnérabilités de sécurité dans les serveurs de messagerie Microsoft Exchange en 2021. Les attaques ont permis aux hackers d’accéder sans autorisation à des réseaux d’entreprises et gouvernementaux, exposant potentiellement des courriels sensibles et d’autres informations confidentielles.
Selon les procureurs américains, Zhang a travaillé comme directeur chez Shanghai Firetech Information Science and Technology, une entreprise prétendument impliquée dans la réalisation d’opérations cyber pour les services de renseignement chinois. Les enquêteurs l’accusent de coordonner des activités de piratage et de superviser d’autres employés impliqués dans l’opération.
Les allégations vont au-delà des attaques sur Microsoft Exchange. Les procureurs affirment que Zhang et son complice présumé, Xu Zewei, ont également ciblé des universités américaines et des chercheurs travaillant sur les vaccins, traitements et tests contre la COVID-19 en 2020.
Les deux hommes ont été nommés dans une inculpation fédérale de neuf chefs d’accusation publiée en novembre 2023 et rendue publique en juillet 2025. Leurs victimes présumées comprenaient des universités du Texas et un cabinet d’avocats international ayant un bureau à Washington, DC.
Xu a été arrêté en Italie en juillet 2025 et extradé vers les États-Unis en avril 2026. Zhang, cependant, reste en fuite, ce qui pousse les autorités américaines à continuer de chercher des informations sur sa localisation.
La campagne HAFNIUM est devenue largement connue en mars 2021 lorsque Microsoft a révélé plusieurs vulnérabilités jusque-là inconnues dans Exchange Server. Les attaquants ont exploité ces faiblesses pour accéder à des systèmes de messagerie vulnérables, et d’autres groupes de piratage ont ensuite commencé à utiliser les mêmes failles de sécurité.
Les autorités américaines affirment que la campagne plus large a compromis plus de 12 700 organisations américaines. Microsoft a attribué l’activité initiale à un groupe de hackers d’État basé en Chine, tandis que des responsables américains ont ensuite relié l’opération au ministère chinois de la Sécurité d’État.
La récompense est offerte par le biais du programme Rewards for Justice du Département d’État, qui offre des incitations financières pour obtenir des informations sur des personnes impliquées dans des menaces à la sécurité nationale.