De Amerikaanse overheid biedt een beloning van maximaal 10 miljoen dollar voor informatie die kan helpen Zhang Yu te vinden, een Chinese staatsburger die wordt beschuldigd van deelname aan een grote cyberspionagecampagne waarbij duizenden Amerikaanse organisaties zijn gecompromitteerd.
Zhang wordt gezocht in verband met de HAFNIUM-hackoperatie, waarbij in 2021 beveiligingslekken in Microsoft Exchange e-mailservers werden uitgebuit. De aanvallen stelden hackers in staat ongeautoriseerde toegang te krijgen tot bedrijfs- en overheidsnetwerken, waardoor gevoelige e-mails en andere vertrouwelijke informatie mogelijk werden blootgesteld.
Volgens Amerikaanse aanklagers werkte Zhang als directeur bij Shanghai Firetech Information Science and Technology, een bedrijf dat naar verluidt betrokken was bij cyberoperaties voor de Chinese inlichtingendiensten. Onderzoekers beschuldigen hem ervan hackactiviteiten te coördineren en toezicht te houden op andere medewerkers die bij de operatie betrokken waren.
De beschuldigingen gaan verder dan de Microsoft Exchange-aanvallen. Aanklagers zeggen dat Zhang en zijn vermeende medeplichtige, Xu Zewei, ook Amerikaanse universiteiten en onderzoekers die in 2020 aan COVID-19-vaccins, behandelingen en testen werkten, hebben aangevallen.
De twee mannen werden genoemd in een federale aanklacht met negen punten die in november 2023 werd uitgegeven en in juli 2025 openbaar werd gemaakt. Hun vermeende slachtoffers waren onder andere universiteiten in Texas en een internationaal advocatenkantoor met een kantoor in Washington, DC.
Xu werd in juli 2025 in Italië gearresteerd en in april 2026 uitgeleverd aan de Verenigde Staten. Zhang is echter nog steeds voortvluchtig, waardoor de Amerikaanse autoriteiten blijven zoeken naar informatie over zijn locatie.
De HAFNIUM-campagne werd algemeen bekend in maart 2021 toen Microsoft verschillende eerder onbekende kwetsbaarheden in Exchange Server bekendmaakte. Aanvallers maakten gebruik van deze zwakke plekken om toegang te krijgen tot kwetsbare e-mailsystemen, en andere hackergroepen begonnen vervolgens dezelfde beveiligingslekken te gebruiken.
Amerikaanse autoriteiten zeggen dat de bredere campagne meer dan 12.700 Amerikaanse organisaties heeft gecompromitteerd. Microsoft schreef de oorspronkelijke activiteit toe aan een in China gevestigde, door de staat gesponsorde hackergroep, terwijl Amerikaanse functionarissen de operatie later in verband brachten met het Chinese Ministerie van Staatsveiligheid.
De beloning wordt aangeboden via het Rewards for Justice-programma van het State Department, dat financiële prikkels biedt voor informatie over personen die betrokken zijn bij nationale veiligheidsbedreigingen.