O governo dos EUA está oferecendo uma recompensa de até 10 milhões de dólares por informações que possam ajudar a localizar Zhang Yu, um cidadão chinês acusado de participar de uma grande campanha de ciberespionagem que comprometeu milhares de organizações americanas.
Zhang é procurado em conexão com a operação de invasão HAFNIUM, que explorou vulnerabilidades de segurança em servidores de e-mail do Microsoft Exchange em 2021. Os ataques permitiram que hackers obtivessem acesso não autorizado a redes corporativas e governamentais, potencialmente expondo e-mails sensíveis e outras informações confidenciais.
Segundo promotores dos EUA, Zhang trabalhou como diretor na Shanghai Firetech Information Science and Technology, uma empresa supostamente envolvida em operações cibernéticas para os serviços de inteligência chineses. Investigadores o acusam de coordenar atividades de invasão e supervisionar outros funcionários envolvidos na operação.
As alegações vão além dos ataques ao Microsoft Exchange. Os promotores dizem que Zhang e seu suposto cúmplice, Xu Zewei, também miraram universidades americanas e pesquisadores que trabalhavam em vacinas, tratamentos e testes contra a COVID-19 durante 2020.
Os dois homens foram nomeados em uma acusação federal de nove acusações emitida em novembro de 2023 e tornada pública em julho de 2025. As supostas vítimas incluíam universidades no Texas e um escritório internacional de advocacia com escritório em Washington, DC.
Xu foi preso na Itália em julho de 2025 e extraditado para os Estados Unidos em abril de 2026. Zhang, no entanto, continua foragido, o que leva as autoridades americanas a continuarem buscando informações sobre sua localização.
A campanha HAFNIUM tornou-se amplamente conhecida em março de 2021, quando a Microsoft revelou várias vulnerabilidades até então desconhecidas no Exchange Server. Atacantes exploraram essas fraquezas para acessar sistemas de e-mail vulneráveis, e outros grupos de hackers passaram a usar as mesmas falhas de segurança.
As autoridades dos EUA dizem que a campanha mais ampla comprometeu mais de 12.700 organizações americanas. A Microsoft atribuiu a atividade original a um grupo de hackers patrocinado pelo Estado e sediado na China, enquanto autoridades americanas posteriormente ligaram a operação ao Ministério da Segurança do Estado da China.
A recompensa está sendo oferecida por meio do programa Rewards for Justice do Departamento de Estado, que oferece incentivos financeiros para informações sobre indivíduos envolvidos em ameaças à segurança nacional.