Estradato l’hacker di Silk Typhoon: svolta globale contro lo spionaggio sui vaccini COVID e gli zero-day Exchange

Un cittadino cinese accusato di far parte del gruppo di hacker Silk Typhoon è stato estradato dall’Italia verso gli Stati Uniti, un passaggio che rafforza la linea dura contro le operazioni di cyber spionaggio legate a interessi statali. Il caso riguarda Xu Zewei, 34 anni, arrestato dalle autorità italiane nel luglio 2025 per presunti attacchi informatici condotti tra febbraio 2020 e giugno 2021 contro organizzazioni americane e agenzie governative.

Tra gli episodi contestati spicca l’intrusione nei sistemi di una università in Texas, con l’obiettivo di sottrarre informazioni sensibili sulla ricerca dei vaccini COVID-19.

Secondo le accuse, la campagna avrebbe preso di mira università, immunologi e virologi impegnati su vaccini, trattamenti e test, in un periodo in cui i dati scientifici avevano un valore strategico enorme. Le imputazioni includono nove capi tra frode telematica, cospirazione per causare danni e ottenere informazioni tramite accesso non autorizzato a computer protetti, oltre a furto di identità aggravato. Si tratta di reati che negli Stati Uniti possono comportare pene severe e che evidenziano come la sicurezza informatica sia ormai intrecciata con la tutela della ricerca e della proprietà intellettuale.

Le indagini descrivono anche un modello operativo basato su attori che lavorano per aziende considerate abilitatrici, cioè società che offrirebbero capacità di hacking a supporto di interessi governativi. Nel periodo degli attacchi Xu avrebbe lavorato per Shanghai Powerock Network Co. Ltd., indicata come parte di questo ecosistema. Un elemento tecnico centrale del caso è l’uso di vulnerabilità zero-day in Microsoft Exchange Server, sfruttate per compromettere i bersagli e installare web shell, strumenti che consentono amministrazione remota e persistenza negli ambienti violati. Questa attività è stata collegata a un cluster noto per l’abuso di Exchange, associato in passato anche alla tracciatura Hafnium.

Dal lato della difesa, Xu avrebbe negato ogni coinvolgimento, sostenendo che si tratti di uno scambio di identità. Al momento dell’arresto si trovava a Milano in vacanza con la moglie e avrebbe presentato dichiarazione di non colpevolezza su tutti i capi. Un co-imputato, Zhang Yu, risulta ancora irreperibile, dettaglio che mantiene aperto il quadro investigativo e operativo su eventuali ulteriori partecipanti e infrastrutture usate negli attacchi.