Estados Unidos ofrece una recompensa de hasta 10 millones de dólares por información sobre un acusado en la campaña Hafnium
El Departamento de Estado de Estados Unidos ofreció una recompensa de hasta 10 millones de dólares por información que conduzca a localizar a Zhang Yu, acusado de participar en la campaña Hafnium, que explotó vulnerabilidades de Microsoft Exchange y comprometió miles de dispositivos en todo el mundo.
El Departamento de Estado de Estados Unidos anunció una recompensa de hasta 10 millones de dólares por información sobre Zhang Yu, un ciudadano chino al que las autoridades acusan de participar en la campaña Hafnium, que tuvo como objetivo servidores de Microsoft Exchange, mientras el acusado sigue fuera del alcance de las autoridades.
El anuncio se realizó a través del programa Rewards for Justice, que ofrece recompensas por información sobre personas que atacan infraestructura crítica estadounidense infringiendo la Ley de Fraude y Abuso Informático, cuando ejecutan sus operaciones bajo la dirección o el control de un gobierno extranjero.
Acusaciones relacionadas con intrusiones generalizadas
Zhang fue acusado junto con Xu Zewei en una acusación formal de nueve cargos revelada en julio de 2025. Las autoridades estadounidenses afirman que ambos obtuvieron, a partir de principios de 2020, acceso no autorizado a investigaciones relacionadas con la pandemia de COVID-19 realizadas por universidades estadounidenses y por investigadores de inmunología y virología, con el objetivo de robar información sensible.
Según el programa estadounidense, Zhang era directivo de Shanghai Firetech Information Science and Technology Company y presuntamente trabajaba para la Oficina de Seguridad del Estado de Shanghái, dependiente del Ministerio de Seguridad del Estado de China. Las acusaciones también señalaron que Xu era entonces director general de Shanghai Powerock Network Co. Ltd.
Al año siguiente, ambos hombres fueron acusados de explotar vulnerabilidades de Microsoft Exchange como parte de la campaña Hafnium. Las autoridades afirmaron que la campaña afectó a miles de ordenadores en todo el mundo y que entre sus víctimas se encontraban una universidad estadounidense y un bufete de abogados estadounidense.
¿Por qué es importante esta noticia?
La nueva recompensa revela que el caso no se limita a la descripción técnica de una campaña de intrusión pasada, sino que ha pasado a una fase de persecución penal internacional dirigida contra una persona que se cree que desempeñó un papel directo en una operación que afectó a un gran número de instituciones. Microsoft reveló los ataques de Hafnium en marzo de 2021, y actualmente rastrea al grupo bajo el nombre de Silk Typhoon.
Según la Oficina Federal de Investigación de Estados Unidos, la campaña comprometió más de 12.700 organizaciones en Estados Unidos. Esto otorga al caso una importancia práctica para los equipos de seguridad, porque la explotación de servidores de correo electrónico corporativo puede abrir el camino al acceso a datos de comunicaciones y archivos internos, incluso cuando el servidor no sea el objetivo final de la operación.
Evolución del caso
La policía italiana arrestó a Xu en Milán a petición de Estados Unidos, antes de entregarlo a las autoridades estadounidenses en abril de 2026. Posteriormente, Xu compareció ante un tribunal federal en Houston, mientras Zhang sigue oculto. La oferta de la recompensa, por sí sola, no demuestra los cargos presentados contra Zhang, ya que las acusaciones siguen sujetas a los procedimientos del juicio.