Il governo degli Stati Uniti offre una ricompensa fino a 10 milioni di dollari per informazioni che potrebbero aiutare a localizzare Zhang Yu, un cittadino cinese accusato di aver partecipato a una grande campagna di cyberspionaggio che ha compromesso migliaia di organizzazioni americane.
Zhang è ricercato in relazione all’operazione di hacking HAFNIUM, che nel 2021 ha sfruttato vulnerabilità di sicurezza nei server di posta elettronica di Microsoft Exchange. Gli attacchi hanno permesso agli hacker di ottenere accesso non autorizzato a reti aziendali e governative, potenzialmente esponendo email sensibili e altre informazioni riservate.
Secondo i procuratori statunitensi, Zhang ha lavorato come direttore presso Shanghai Firetech Information Science and Technology, una società presumibilmente coinvolta nell’esecuzione di operazioni informatiche per i servizi segreti cinesi. Gli investigatori lo accusano di coordinare attività di hacking e di supervisionare altri dipendenti coinvolti nell’operazione.
Le accuse vanno oltre gli attacchi a Microsoft Exchange. I pubblici ministeri affermano che Zhang e il suo presunto complice, Xu Zewei, hanno preso di mira anche università americane e ricercatori che lavoravano su vaccini, trattamenti e test COVID-19 durante il 2020.
I due uomini sono stati nominati in un’incriminazione federale composta da nove capi d’accusa emessa nel novembre 2023 e resa pubblica nel luglio 2025. Le presunte vittime includevano università in Texas e uno studio legale internazionale con sede a Washington, DC.
Xu è stato arrestato in Italia nel luglio 2025 ed estradato negli Stati Uniti nell’aprile 2026. Zhang, tuttavia, rimane in libertà, spingendo le autorità americane a continuare a cercare informazioni sulla sua posizione.
La campagna HAFNIUM è diventata ampiamente nota nel marzo 2021 quando Microsoft ha rivelato diverse vulnerabilità precedentemente sconosciute in Exchange Server. Gli attaccanti hanno sfruttato queste debolezze per accedere a sistemi email vulnerabili, e altri gruppi di hacker hanno successivamente iniziato a utilizzare le stesse vulnerabilità di sicurezza.
Le autorità statunitensi affermano che la campagna più ampia ha compromesso più di 12.700 organizzazioni americane. Microsoft ha attribuito l’attività originale a un gruppo di hacker con sede in Cina e sponsorizzato dallo Stato, mentre i funzionari statunitensi hanno successivamente collegato l’operazione al Ministero della Sicurezza di Stato cinese.
La ricompensa viene offerta tramite il programma Rewards for Justice del Dipartimento di Stato, che offre incentivi finanziari per informazioni su individui coinvolti in minacce alla sicurezza nazionale.