Caccia a Zhang Yu: 10 milioni USA per l’hacker HAFNIUM dietro l’attacco a Microsoft Exchange

Il Dipartimento di Stato degli Stati Uniti ha annunciato una ricompensa fino a 10 milioni di dollari per informazioni utili a identificare o localizzare Zhang Yu, cittadino cinese accusato negli USA per il suo presunto coinvolgimento negli attacchi del 2021 contro Microsoft Exchange Server, noti come campagna HAFNIUM. Secondo le autorità, Zhang risulta ancora latitante e non è stato arrestato, mentre le accuse non sono state ancora verificate in un processo.

La ricompensa rientra nel programma Rewards for Justice, iniziativa legata alla sicurezza nazionale che negli anni ha premiato segnalazioni considerate determinanti. In questo caso, l’avviso collega Zhang a presunte attività informatiche malevole contro infrastrutture critiche statunitensi, un tema centrale nella strategia americana di contrasto al cybercrime e alla cyber espionage attribuiti a stati esteri o a soggetti che agiscono per loro conto.

Zhang Yu è imputato insieme a Xu Zewei in un tribunale federale di Houston con un atto di accusa che include nove capi. L’inchiesta descrive una finestra temporale ampia, con presunte intrusioni tra febbraio 2020 e giugno 2021. Xu Zewei è stato arrestato a Milano nel luglio 2025 su richiesta degli Stati Uniti ed estradato nell’aprile 2026, evidenziando come le indagini su operazioni di hacking transnazionali possano coinvolgere cooperazione giudiziaria internazionale.

Le autorità statunitensi indicano Zhang come dirigente presso Shanghai Firetech Information Science and Technology. L’accusa sostiene che avrebbe lavorato su incarichi assegnati da un ufficio locale della sicurezza di stato di Shanghai, coordinando e supervisionando attività di intrusione insieme ad altri operatori. Viene inoltre citato il ruolo di aziende abilitatrici e contractor privati usati per rendere meno evidente il coinvolgimento governativo nelle operazioni cyber.

L’atto di accusa descrive due filoni principali:

• Primo filone (inizio 2020): avrebbe preso di mira università e ricercatori statunitensi impegnati su vaccini, terapie e test per COVID-19.
• Secondo filone (fine 2020 in poi): riguarda lo sfruttamento di vulnerabilità in Microsoft Exchange Server che ha alimentato la campagna poi attribuita a HAFNIUM, con l’exploit noto come ProxyLogon tra i punti chiave.

Microsoft rese pubblici gli attacchi il 2 marzo 2021 e rilasciò patch per quattro vulnerabilità zero-day; in breve tempo anche altri gruppi iniziarono a riutilizzare gli stessi difetti. L’FBI ha stimato oltre 12.700 organizzazioni USA compromesse nell’ambito della campagna complessiva.